composer update --lock是最轻量的重置方式，它不改变任何已安装包的版本，仅重新生成composer.lock中的哈希、dist信息和依赖图结构，适用于Git合并冲突后修复锁文件格式问题。
composer update --lock 是最轻量的重置方式
它不改变任何已安装包的版本，只重新生成 composer.lock 文件中的哈希、dist 信息和依赖图结构。适用于 Git 合并冲突后保留双方 composer.json 更改，但锁文件里残留 <<<< / >>>> 标记的情况。
执行前确保：composer.json 已干净合并（去重、排序、无语法错误），且本地 PHP 环境满足所有 require 和 config.platform 要求。
- 运行
composer update --lock，它会跳过版本解析，仅校验并刷新 lock 文件 - 若报错
Your requirements could not be resolved，说明不是锁文件问题，而是环境不匹配——立刻检查php -v、php -m | grep mbstring和composer show --platform - 成功后，
git diff composer.lock应只显示哈希变更和元数据更新，无版本号变动
真要重算依赖树？用 composer update --minimal-changes
当你合并了新包、删了旧包，或修改了 composer.json 中的约束，又想最小化版本波动时，这个命令比裸 composer update 安全得多。它会保留尽可能多的现有版本，只升级那些被新约束强制要求变更的包。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 只在 Composer 2.2+ 可用；低于该版本会提示未知选项
- 不会降级已安装包，也不会升级未被新约束触发的包
- 如果某包在两个分支中被指定为不同版本（如
"monolog/monolog": "^2.0"vs"^3.0"），它仍会按新约束升到 ^3.0，但不会连带升级其所有子依赖 - 执行后务必检查
git diff composer.lock，确认只有预期的变更
锁文件哈希校验失败？三件套必须一起清
报 hash verification failed 不是文件损坏，而是 composer.lock 里记录的 dist.sha256 和当前镜像返回的实际包内容不一致。常见于切换国内镜像源、镜像同步延迟、或本地缓存污染。
- 删掉
vendor/目录 - 删掉
composer.lock - 切回官方源：
composer config -g repo.packagist packagist.org - 再运行
composer install—— 它会先生成新 lock，再安装，避免中间状态不一致 - 别只删
vendor/：留着旧 lock 文件，install仍会尝试校验旧哈希，照样失败
回滚到历史版本？别动 composer.json，直接换 lock
线上出问题，最快恢复不是改配置，而是把 composer.lock 退回到上一个稳定提交。因为 composer install 严格按 lock 安装，完全无视 composer.json 里的 ^ 或 ~ 约束。
- 查历史：
git log --oneline -n 10 -- composer.lock - 恢复指定 commit 的 lock：
git checkout <commit-hash> -- composer.lock - 清理现场：
rm -rf vendor/ - 重装：
composer install - 注意：如果
composer.json新增了包但旧 lock 里没有，install会报错；此时需先composer update --lock补全，或接受该次更新
真正麻烦的从来不是锁文件本身，而是你没意识到 composer.lock 是派生品——它的权威性完全来自 composer.json + 当前环境能力。每次怀疑锁文件坏了，先问自己：PHP 版本对吗？扩展装全了吗？config.platform 是不是在骗 Composer？
