composer install失败或装错包的根本原因是缺少有效composer.lock或其与composer.json不匹配；此时必须用composer update生成新lock，而非强行install。
composer.lock 不是配置文件，不能手动改，也不能靠 Git 合并解决——它必须由 Composer 重新生成。
为什么 composer install 会失败或装错包
常见现象包括：Class not found、Your lock file does not contain a compatible set of packages、本地和 CI 装出不同版本的 guzzlehttp/guzzle。根本原因只有一个：当前目录下没有有效的 composer.lock，或者它和 composer.json 不匹配。
此时 composer install 会直接拒绝执行（不是“退化成 update”，而是报错退出）。很多人误删 composer.lock 后仍执行 composer install，结果就是命令失败，或被某些旧版 Composer 静默 fallback 到 update 行为——这完全违背锁定本意。
- 确认是否真有
composer.lock：ls -l composer.lock，不存在就别试install - 检查格式是否损坏：
php -l composer.lock，报错说明 JSON 无效（常见于 Git 自动合并失败后残留） - 验证兼容性：
composer validate --strict看composer.json是否合法，再运行composer install --dry-run检查 lock 是否可复现
Git 合并时出现 lock 文件冲突怎么办
Git 报 composer.lock 冲突，不代表你得打开文件一行行删 >>>> theirs。这个文件是快照，不是文本配置。手动合并大概率产出非法 JSON 或不一致依赖树。
标准做法分三步走：
- 先确保
composer.json已无冲突（git status确认），否则一切重建都白搭 - 放弃当前冲突状态：
git checkout --ours composer.lock（或--theirs，选一个干净分支的版本） - 删掉
vendor/目录（Windows 下用Remove-Item -Recurse -Force vendor更可靠），再跑composer install
如果两边都有新增依赖，就别选任何一方的 lock，而是：git merge 完 composer.json → rm composer.lock vendor → composer update → 提交新 lock。
删了 lock 文件后该用 install 还是 update
答案明确：必须用 composer update。因为 composer install 的前提就是 composer.lock 存在且有效。删了它还执行 install，只会报 Could not find lock file 或类似错误。
composer update 才是真正按 composer.json 重算依赖、生成新 lock 的命令。但要注意：
- 加
--with-dependencies才能连带更新子依赖，否则可能装出无法运行的组合 - PHP 版本不匹配时（如
composer.json写"php": "^8.2"，但本地是 8.1），会卡住；临时可用--ignore-platform-reqs，但上线前必须修正环境 - CI 中应禁用
--ignore-platform-reqs，否则 lock 文件记录的包可能根本无法在生产机上安装
哪些操作会悄悄破坏锁定效果
最危险的不是报错，而是“看起来正常却已失守”：
- CI 脚本里写
composer update而非composer install—— 每次构建都拉新 patch，lock 形同虚设 -
.gitignore里误加了composer.lock—— 团队成员composer install实际走的是 update 逻辑 - 执行
composer require vendor/package:dev-main后提交 lock —— 它锁的是 commit hash，而该 hash 可能被 force push 覆盖，导致下次 install 失败 - CI 缓存了旧
vendor/，又没清缓存就跑composer install—— 加载的仍是缓存里的旧包，和 lock 记录不符
真正的锁定生效，只发生在 composer.lock 提交进 Git + 部署时严格用 composer install + 禁用生产机上的 Composer 命令这三者同时成立的时候。少一个，就不算真正锁定。
