多个项目 composer.json 和 composer.lock 必须单独备份，不能合并或去重；它们是项目级快照，内容独立且不可互换，强行拼接会导致失效，唯一安全方式是按原始目录结构分别打包并校验完整性。
多个项目 composer.json 和 composer.lock 必须单独备份，不能合并或去重
Composer 的依赖声明是项目级的，composer.json 和 composer.lock 文件内容彼此独立、不可互换。哪怕两个项目都 require monolog/monolog，它们的 composer.lock 里记录的哈希、子依赖树、平台约束也完全不同。试图用 find /projects -name "composer.lock" | xargs cat > all.lock 合并，会导致文件完全失效。
批量备份的唯一安全方式是保留每个项目的原始目录结构。常见错误包括：
- 把所有
composer.json拷到一个文件夹下再打包 → 恢复时无法对应原项目路径 - 用
rsync --include="*/" --include="composer.json" --include="composer.lock" --exclude="*" ...却漏掉--prune-empty-dirs→ 备份包里全是空目录 - 在脚本中用
cd $dir && tar -czf backup-$(basename $dir).tar.gz composer.json composer.lock，但没加-C $dir→ 压缩包内路径变成./composer.json，解压后多一层.
用 find + tar 批量打包每个项目的元数据（推荐脚本）
以下命令会在当前目录下每个含 composer.json 的子目录生成独立压缩包，路径干净、可直接解压还原：
find . -maxdepth 3 -name "composer.json" -execdir sh -c '
dir=$(pwd)
basename=$(basename "$dir")
tar -czf "${basename}_meta.tar.gz" composer.json composer.lock 2>/dev/null
[ $? -eq 0 ] && echo "✅ backed up: $dir"
' \;
说明：
-
-maxdepth 3防止遍历过深（如嵌套 vendor 或 node_modules） -
-execdir确保每个tar在项目根目录执行，避免路径污染 -
2>/dev/null屏蔽composer.lock缺失时的报错，只打有锁文件的项目（更可靠） - 不加
--transform重命名，因tar -xf默认解压到当前目录，结构天然匹配
备份时忽略 vendor 但校验 lock 文件完整性
批量操作最容易忽略的是：有些项目 composer.lock 被 gitignore 或根本没生成。直接打包可能得到空文件或过期 lock。建议加一行校验：
find . -maxdepth 3 -name "composer.json" -execdir sh -c '
if [ -s composer.lock ]; then
composer validate --no-check-publish --no-check-all 2>/dev/null || echo "⚠️ invalid lock: $(pwd)"
else
echo "❌ missing lock: $(pwd)"
fi
' \;
关键点：
-
composer validate不联网、不读 vendor，只校验 JSON 结构和字段合法性 -
--no-check-publish跳过对 packagist 元数据的远程校验（离线可用） - 输出带路径，方便定位问题项目，比事后恢复失败再排查快得多
恢复时不要用全局 install，必须进每个目录单独执行
批量备份是为了批量还原，但还原动作不能“一键全装”。composer install 会读取当前目录下的 composer.json 和 composer.lock，且依赖解析受本地 PHP 版本、扩展、全局配置影响。跨项目混用会导致：
- 某个项目 require
"php": "^8.1"，但在 PHP 7.4 环境下执行全局 install → 静默跳过或报错中断 - 项目 A 的
composer.json里有"repositories"私有源配置，项目 B 没有 → 全局 install 时所有项目都尝试连 A 的源 - 用
composer install --no-dev批量运行，但某个项目 dev 依赖被用于构建脚本 → 构建失败
正确做法是解压每个 _meta.tar.gz 后，cd 进目录，再跑：
composer install --no-interaction --no-progress
加 --no-interaction 是防止某项目有 post-install-cmd 脚本卡住整个流程。
真正麻烦的不是打包，而是确保每个项目的 composer.lock 都真实反映当前 vendor 状态——如果开发过程中有人手动改了 vendor/ 却没更新 lock，批量备份就等于固化了一个错误现场。
