CI中必须用composer install而非update，因其严格按已提交的composer.lock还原精确版本、顺序与依赖树，确保构建可重现；update会重算依赖、生成新lock，绕过代码审查引发BC break或Fatal error。
CI 环境中必须用 composer install，而不是 composer update；否则构建结果不可重现，测试可能通过、上线却崩溃。
为什么 CI 里禁用 composer update
CI 的核心目标是“可重复构建”——同一份代码，在任何时间、任何机器上都应产出完全一致的依赖快照。composer update 会忽略 composer.lock，重新解析所有 require 中的版本约束（比如 ^2.1），并拉取当时最新的兼容版本。这会导致：
- 今天跑通的测试，明天因
monolog/monolog升级到2.12.0而失败（新版本改了日志上下文格式） - 生产部署时实际安装的包与 CI 测试时不同，埋下线上事故隐患
- 无法追溯某次构建具体用了哪些依赖版本——
composer.lock就是这份“证据”
composer install 必须带的关键参数
默认的 composer install 在 CI 中往往不够安全或高效，需显式控制行为：
-
--no-dev：跳过require-dev中的包（如phpunit、phpstan），避免污染生产环境、缩短安装时间 -
--prefer-dist：强制走压缩包分发渠道（而非git clone），下载更快、更稳定；尤其在 CI 容器网络受限时效果明显 -
--no-interaction（或简写-n）：禁止任何交互式提示（如认证确认），避免构建卡住 -
--optimize-autoloader（或-o）：生成优化后的自动加载映射，提升运行时性能；CI 阶段执行比上线后手动跑更可控
推荐完整命令：composer install --no-dev --prefer-dist --no-interaction --optimize-autoloader
私有包认证不能硬编码在 composer.json 中
把用户名密码直接写进 composer.json 的 repositories 或 config 字段，等于把凭证提交到 Git——严重安全风险。正确做法是：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在 CI 系统中配置环境变量
COMPOSER_AUTH，值为 JSON 字符串，例如：{"http-basic": {"packages.example.com": {"username": "ci-bot", "password": "xxx"}}} - 确保该变量只对构建任务可见，不泄露到日志或产物中
- 若使用 GitHub Packages 或 GitLab Composer Registry，优先用 token 替代密码，并设置最小必要权限
注意：COMPOSER_AUTH 只影响 HTTP Basic 认证；SSH 私钥类仓库需另配 ssh-agent 或 CI 内置密钥管理机制。
CI 构建失败时，先看 composer.lock 是否被意外修改
常见误操作是开发人员本地执行了 composer update 后忘记提交 composer.lock，或提交了但没同步到 CI 分支。此时 CI 运行 composer install 会报错：
Your lock file does not contain a compatible set of packages. Please run composer update.
这不是让你在 CI 里跑 update，而是说明：
- 本地
composer.json和composer.lock已不一致，需本地修复并重新提交lock文件 - CI 拉取的分支可能没包含最新
lock提交（比如合并冲突未解决） - CI 缓存了旧版
lock，需清空 vendor 和 lock 文件后重试（但根本解法仍是保证 lock 文件受版本控制）
真正需要警惕的是：当 composer install 成功但运行时报错，大概率是 lock 文件里锁定了某个已知有 bug 的补丁版本（如 symfony/http-foundation:5.4.33），这时得靠人工核对变更记录，而非盲目升级。
