composer install从不修改composer.lock，因其设计为“按锁还原”，只读取lock中精确版本、哈希与autoload配置，完全忽略composer.json的版本约束和PHP要求；真正能更新lock的只有composer update、update --lock或首次update生成。
composer install 本身就不修改 composer.lock 文件——它只读不写。所谓“无法修改锁文件”，99% 是误判：要么是想更新依赖却错用了 install，要么是文件归属/权限/文件系统导致 flock 失败，而非 Composer 主动拒绝写入。
为什么 composer install 从不碰 composer.lock
这是设计使然，不是 bug 或配置问题。composer install 的唯一职责是按 composer.lock 中记录的精确版本、哈希和 autoload 配置还原依赖树。它完全忽略 composer.json 里的版本范围（如 "^7.0"），也不校验 PHP 版本是否匹配 config.platform。所以你改了 composer.json 后跑 install，它不会报错、不会更新 lock、也不会警告——只会安静地装错包。
真正能生成或重写 composer.lock 的命令只有：
-
composer update（全量重算并写入新 lock） -
composer update --lock（Composer 2.2+，仅重写 lock，不变更 vendor） -
composer init或首次composer update（无 lock 时创建）
flock ./composer.lock 失败：文件不存在或不可写
CI 构建或 WSL2 环境里报 Could not lock file ./composer.lock，往往不是权限位（rwx）问题，而是以下其一：
-
composer.lock根本不存在——flock不创建文件，只锁已打开的句柄；先确认：ls -l composer.lock - 文件存在但属主是
root，当前用户无写权限：sudo chown $USER:$USER composer.lock - 项目在 NFS 挂载点或 WSL2 的
/mnt/c/下——这些文件系统不支持 POSIX 锁；用df -T .查类型，若为nfs或9p，必须换路径（如移到~/project） - Docker 中挂载卷设为只读（
ro），或容器内 UID/GID 与宿主机不匹配
实在没 composer.lock 又急着过 CI？临时用 flock .git -c 'composer install'（前提是 .git 目录可访问且存在）。
修改 composer.json 后该用哪个命令
不是所有改动都需要重生成 lock。只有影响依赖解析逻辑的变更才触发 composer update：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 增删
require/require-dev包，或改版本约束（如"laravel/framework": "10.*"→"11.*"） - 调整
config.platform（如"php": "8.2.0"）、minimum-stability或prefer-stable - 变更
repositories（尤其私有源地址或类型）
以下修改无需动 lock：
-
autoload、scripts、name、description字段 - 只是格式化 JSON 缩进或加注释
Git 合并冲突时，别手改 composer.lock——任意删行、调顺序、凑缩进都会破坏 content-hash，导致后续 install 失败。正确做法：git checkout --ours composer.lock → rm -rf vendor → composer install；失败则说明 composer.json 和所选 lock 不兼容，此时才该 composer update。
并发场景下如何安全运行 composer install
--no-interaction 或 --prefer-dist 完全不能防止并发冲突。多个进程同时写 vendor/ 和读写 composer.lock，会导致目录被删一半、autoload.php 被覆盖、类加载失败——哪怕都加了参数也一样。
真正有效的方案只有外部锁：
- GitHub Actions：用
concurrency控制 job 并发 - GitLab CI：设
interruptible: false+ job-level lock - 自建 CI：用
flock包裹整个命令，但前提是你得确保composer.lock存在且可写 - 退而求其次：部署时禁用插件 + 预生成 lock，即只跑
composer install --no-interaction --no-plugins --optimize-autoloader，跳过所有可能写 lock 的环节
最常被忽略的一点：WSL2 默认挂载 Windows 盘符（/mnt/c/）时不启用 metadata 支持，chown 和 flock 表面成功实则无效。必须在 /etc/wsl.conf 中设置 [automount] options = "metadata" 并重启 WSL。
