composer install 用于还原环境，必须有 composer.lock 才可靠；composer update 用于重算依赖树，会更新锁文件；require 命令自动修改配置、更新依赖并刷新自动加载。
直接用 composer install 和 composer update 是最常见操作，但不加区分地混用会导致依赖不一致、CI失败、本地跑通线上报错——关键不在“会不会用”，而在“什么时候该用哪个命令”。
composer install 为什么必须有 composer.lock 才可靠
composer install 的行为完全取决于是否存在 composer.lock 文件。没有它，Composer 就会退化为按 composer.json 重新解析依赖树，结果可能和别人环境完全不同。
- 有
composer.lock：严格安装其中记录的每个包的确切版本（包括嵌套依赖），保证所有环境一致 - 没有
composer.lock：只看require字段，按版本约束选“最新兼容版”，同一份composer.json在不同时间运行可能装出不同结果 - CI/CD 流水线、生产部署必须走
composer install，且composer.lock必须提交进 Git
composer update 不是“升级依赖”，而是“重算依赖树”
composer update 的本质不是更新某个包，而是丢掉当前 composer.lock，从头解析整个依赖图，再生成新锁文件。它会无视 lock 中原有版本，只尊重 composer.json 里的约束表达式。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 执行
composer update guzzlehttp/guzzle：只重算guzzlehttp/guzzle及其子依赖，其他包版本保持不变 - 执行
composer update（无参数）：全部重算，哪怕你只改了一行composer.json，也可能把monolog从 2.10 升到 2.12，甚至触发不兼容变更 - 如果
composer.json里写的是"^2.0"，update最多升到2.x，绝不会跳到3.0；但若写的是"2.*"或">=2.0"，风险就大得多
require 命令背后自动做了三件事
运行 composer require monolog/monolog:^3.0 看似简单，其实隐含三步原子操作：
- 修改
composer.json的require字段，添加或更新该包条目 - 立即执行一次
composer update（仅限该包及其依赖），生成新composer.lock - 调用
composer dump-autoload刷新自动加载映射，确保新类能立刻被require或use - 如果项目已启用
"optimize-autoloader": true，这一步还会生成优化后的vendor/autoload.php，避免运行时遍历目录
autoload 配置写错会导致类找不到，但错误不报在 require 阶段
PSR-4 映射写错（比如命名空间末尾漏了反斜杠、路径拼错）不会让 composer install 失败，而是在第一次 new 某个类时才抛 Class not found。这是最容易被忽略的隐形坑。
- 正确写法：
"App\": "src/"—— 注意双反斜杠，转义后是App - 错误写法：
"App": "src/"—— PHP 解析成App"src/，自动加载器根本不会匹配 - 验证方式：运行
composer dump-autoload -d（带-d参数可输出调试信息），看是否列出了你预期的类路径 - 测试建议：在 CI 中加一条
php -r "class_exists('App\SomeClass') || die('missing');"，提前暴露映射问题
真正难的不是命令怎么敲，而是每次执行前得想清楚：这次操作到底是在“还原环境”，还是在“主动改变依赖结构”——前者靠 install，后者靠 update 或 require，混用就等于把版本控制交给了运气。
