composer status --verbose 不检测 composer.lock 文件内容变化，仅检查 vendor/ 目录文件完整性；要对比 lock 差异需用 git diff 或 jq 格式化后比对，验证同步性应结合 composer validate --strict 与手动核对 require 块。
composer status --verbose 为什么看不出 lock 文件差异
composer status --verbose 实际上不对比 composer.lock 和当前 vendor 状态，它只检查已安装的包是否被手动修改（比如文件被编辑、删除或权限变更）。它压根不解析 composer.lock 里的哈希与远程仓库版本关系，更不会比对 lock 文件本身的新旧内容。所以你执行后看到 “No local changes detected”，不代表 lock 没变过——它根本没看 lock。
常见错误现象：
• 你刚 git pull 了别人的 composer.lock 更新，composer status --verbose 却说“一切正常”
• 你本地改了 composer.json 但没 run install 或 update，命令仍返回空结果
- 真正想看 lock 文件“内容差异”，得用 Git 工具（比如
git diff composer.lock） - 想确认 lock 是否和
composer.json同步，该用composer validate --strict+ 手动比对 require 块 -
composer status的作用域仅限于vendor/目录的文件完整性，不是 lock 审计工具
如何安全地对比两次 commit 中的 composer.lock
最直接有效的方式就是 Git 差异比对，但要注意 lock 文件是 JSON，原始 diff 可读性差。建议加格式化提升可读性。
- 基础对比：
git diff HEAD~1:composer.lock HEAD:composer.lock - 带格式化（需系统有
jq）：git show HEAD~1:composer.lock | jq . > /tmp/lock-old.json && git show HEAD:composer.lock | jq . > /tmp/lock-new.json && diff /tmp/lock-old.json /tmp/lock-new.json - 如果只关心哪些包版本变了，过滤关键字段：
git diff -U0 | grep "^+" | grep -E '"name"|version|dist.hash'
注意：不要依赖 composer show --outdated 来反推 lock 差异——它查的是 Packagist 最新版本，和 lock 文件里记录的版本无直接可比性。
composer.lock 被改但没提交，怎么快速发现
这类情况最容易导致 CI 失败或本地环境不一致。Git 本身能捕捉，但需要主动检查，因为 Composer 不会自动提示。
- 运行
git status，看composer.lock是否在 “modified” 列表里 - 用
git diff --quiet composer.lock || echo "lock changed"写成脚本片段嵌入 pre-commit - CI 中建议加校验步骤：
git diff --exit-code origin/main -- composer.lock || (echo "composer.lock differs from main branch" && exit 1)
容易踩的坑：有些 IDE 或编辑器会自动格式化 JSON，导致 lock 文件空格、换行、键序变化——内容语义没变，但 Git 显示大量差异。这时用 jq -S . composer.lock | sha256sum 对比哈希更可靠。
为什么不能靠 composer install --dry-run 判断 lock 是否过期
composer install --dry-run 只模拟安装流程，检测是否有缺失包或冲突，但它不会告诉你“当前 lock 记录的版本比 composer.json 允许的最新版低多少”。它成功只说明 lock 可用，失败才说明有问题。
- 即使 lock 里全是老版本，只要满足
composer.json的约束，--dry-run也会安静通过 - 真正要识别“过期包”，得用
composer outdated --direct（只看 root 依赖）或composer show --outdated（含 transitive） - 性能影响：后者会连 Packagist API，慢且可能受网络/限流影响；前者只读 lock 和 json，快但信息有限
复杂点在于：lock 文件的“过期”不是布尔值，而是分层的——root 依赖版本范围宽松时，lock 可能故意锁旧版来保稳定；此时人工判断比工具输出更重要。
