composer install 必须有 composer.lock，因其唯一职责是按锁文件精确还原依赖：读取版本、哈希、URL和完整依赖树，忽略composer.json约束；缺失则报错或退化为不可控update，破坏环境一致性。
composer.lock 文件不是“避免冲突”的工具，而是“让冲突提前暴露、不可绕过”的强制机制。 它不阻止你写错版本约束，但会确保：一旦依赖树被成功解析，所有人就只能装那一套——错也一起错，对也一起对。
composer install 为什么必须有 composer.lock 才能执行
新版 Composer（v2.5+）遇到缺失 composer.lock 时，直接报错 Command "install" is not defined；旧版可能退化为静默执行 composer update，但结果不可控。这不是 bug，是设计使然：
-
composer install的唯一职责是“按锁还原”，它根本不读composer.json里的^或~约束 - 没有
composer.lock，就没有“还原目标”，命令逻辑上就不成立 - CI 构建卡在
Resolving dependencies…，大概率就是漏提交了composer.lock，触发了隐式update
composer.lock 如何记录并固化传递性依赖
它不只是记你 require 的包，还完整保存整个依赖树的快照，包括：monolog/monolog 拉进来的 psr/log 版本、guzzlehttp/guzzle 用的 ralouphie/getallheaders 哈希值，甚至 platform 字段里当时解析所用的 PHP 版本（如 "php": "8.2.15"）。
这意味着：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 即使
psr/log发布了 v3.0.0，只要composer.lock里写的是"version": "2.0.0"，install就绝不会装 v3 - 不同人执行
composer install，哪怕系统 PHP 版本不同，只要 lock 文件一致，vendor 目录内容就 100% 相同 -
composer show --tree输出的结构，和 lock 文件里packages数组的嵌套关系严格对应
更新依赖时，composer update 和 lock 文件的联动逻辑
composer update 是唯一能生成或重写 composer.lock 的命令。它的行为取决于参数：
-
composer update：全量重算，更新所有包及其传递依赖，覆盖整个 lock 文件 -
composer update monolog/monolog：只重算该包及其子依赖，其他条目保持不变 -
composer update --lock：不改依赖版本，仅刷新哈希值和 dist URL（用于修复 lock 文件损坏或合并冲突后校验）
注意：composer update 不检查运行时环境是否满足新版本要求——它只按 composer.json 的约束和当前 platform 快照求解。如果你把 "php": "^8.1" 改成 "^8.2" 却没跑 update，lock 文件里仍存着 PHP 8.1 下解析出的旧包，可能导致运行时报错。
为什么团队必须提交 composer.lock 到 Git
应用程序（Application）项目不提交 composer.lock，等于放弃环境一致性保障。典型后果：
- 本地
composer install装出symfony/http-foundation v6.4.7，CI 装出v6.4.8，后者悄悄修改了Request::getPayload()返回类型 - 某人误删了
composer.lock后执行install，结果拉到一个已废弃的doctrine/annotations版本，autoload 失败 -
composer outdated显示一堆可更新项，但没人敢动——因为不知道哪些更新会破坏现有逻辑
真正容易被忽略的一点是：composer.lock 里还存着每个包的 autoload 配置。如果手动删掉 lock 文件又不跑 update，新装的包可能根本无法自动加载，连错误提示都看不到。
