最直接的验证方式是运行 composer show vendor/package，其输出的 versions 行必须与 composer.json 中的版本写法完全一致，包括等号、小数点位数及 ^/~ 符号；否则说明版本未精确锁定。

composer show 输出版本是否匹配 composer.json 中的写法

这是最直接的验证方式。运行 composer show vendor/package（例如 composer show monolog/monolog），输出的 versions 行必须和 composer.json 里写的完全一致——包括等号、小数点后位数、是否带 ^ 或 ~。

常见错误现象：

• "monolog/monolog": "2.9" → composer show 显示 2.9.2（说明被解析为 ~2.9.0，没锁住）
• "monolog/monolog": "=2.9.1" → 输出却是 2.9.0（说明 composer.lock 没同步更新）

正确做法：

• 改完 composer.json 后，必须执行 composer update vendor/package（不是 install）
• 再检查 composer.lock 中该包的 version 字段，值应为 "=2.9.1" 或 "2.9.1"，不能是 "2.9.2"

运行 composer update vendor/package 是否提示 Nothing to install or update

如果锁定生效，对已固定版本的包执行 update 应该不触发任何变更。这是 Composer 内部求解器“无解空间”的明确信号。

注意点：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 只对单个包运行，避免全量 composer update —— 那会重算整个树，覆盖 lock 文件
• 若提示 Dependency "vendor/package" is also a root requirement. Updating it to the latest version...，说明版本约束仍含范围符（如 ^），根本没锁
• 如果 composer.json 和 composer.lock 不一致，update 可能先尝试修正 lock，而非报 “nothing”

检查 composer.lock 中的 version 字段是否精确一致

composer.lock 是最终权威。打开它，找到对应包的条目，看 "version" 的值是否和 composer.json 完全相同（字符串级相等）。

容易踩的坑：

• composer.json 写 "2.9.1"，但 lock 里是 "2.9.1.0" 或 "v2.9.1" → 不一致，锁失效
• 用了 =2.9.1 却没在 lock 里看到等号 → 说明 Composer 版本太低（
• CI 构建时用 composer install --locked 报错 Your lock file does not contain a compatible set of packages → 锁文件和 json 已脱节，必须先 update 再提交

CI 部署前加 composer validate 和 verify-checksums --strict

composer validate 能发现语法错误或约束冲突（比如 PHP 版本要求和包不兼容），但它不校验锁定效果；真正验证“装出来的代码是否和锁一致”，得靠 verify-checksums。

实操要点：

• 必须启用实验模式：COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict
• 它读的是 vendor/ 目录下实际文件，和 composer.lock 中的 dist.sha256 对比，不是只信 lock 文件本身
• 失败时不会指出哪个文件坏，只报包名 mismatch；要定位具体篡改点，得手动提取该包哈希，再用 find vendor/vendor/package -type f -print0 | xargs -0 shasum -a 256 逐文件比
• autoload.php 等生成文件不在校验范围内，它们一旦被改，verify-checksums 也发现不了

真正锁住依赖，靠的不是“写了固定版本”，而是 composer.json + composer.lock + composer install 三者严丝合缝。其中最容易被跳过的环节，就是改完 json 后忘了 update 更新 lock，或者把 lock 文件从 Git 忽略了。