composer install不能更新lock文件，因其设计目标仅为“按锁还原”，只读取不写入；即使修改composer.json中的PHP版本等约束，它仍严格按旧lock校验安装，不会同步或报错。
composer install 为什么不能更新 lock 文件
它根本没这个功能。composer install 的设计目标就是“按锁还原”，只读 composer.lock，从不写入。哪怕你刚改完 composer.json 里的 php 版本约束，它也照着旧 lock 里存的平台信息去校验和安装——不会报错，也不会同步。
常见错误操作包括：
- 删掉
vendor/后再跑composer install（只是重装，lock 毫发无伤） - 在 CI 脚本里写
composer install && composer install（第二遍直接跳过） - 手动编辑
composer.json后只跑composer install（会报Your lock file does not contain a compatible set of packages，这不是提示，是拦截）
哪些修改必须触发 composer update 并提交新 lock
不是所有改动都会影响依赖解析结果，只有以下几类变更才需要生成新 lock：
-
require或require-dev中增删包、改版本约束（例如把"guzzlehttp/guzzle": "^7.0"改成"^8.0"） - 调整
config.platform（如统一设为"php": "8.1.0"）、minimum-stability或启用prefer-stable - 修改
repositories（尤其是私有源地址或类型变更）
而改 autoload、scripts、name、description 这类字段，完全不需要碰 lock 文件。
Git 合并冲突时 composer.lock 怎么安全处理
绝不能手工删行、调缩进、凑格式。任意改动都会破坏 content-hash，导致后续 composer install 失败或类加载异常。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
正确流程是：
- 用
git checkout --ours composer.lock或--theirs拿一个干净版本（推荐保留主干分支的 lock） - 删掉
vendor/目录 - 运行
composer install—— 如果失败，说明当前composer.json和所选 lock 不兼容，此时才该运行composer update --lock或全量composer update
composer update --lock 是 Composer 2.2+ 才支持的命令，它只重写 lock 文件，不装不卸不升级，适合你只改了 config.platform 这类非依赖字段后想对齐哈希值。
解决冲突时如何最小化依赖变动
全量 composer update 容易引发连锁反应，尤其在复杂项目中。更可控的方式是：
- 用
composer update vendor/package精确更新单个包及其必要子依赖 - Composer 2.4+ 支持
--with=vendor/package:^2.0，临时覆盖版本约束做兼容性测试 - 加
--minimal-changes（2.2+），让 Composer 只更新真正必要的包，避免“顺手升了一堆无关依赖” - 先用
composer why vendor/package查清谁在拉这个包，再决定是升、降还是换替代方案
真正容易被忽略的是：composer.lock 的 content-hash 是整个 composer.json 的完整快照，哪怕只多一个空格，hash 就变，install 就拒执行。它不是配置文件，是不可手修的契约。
