composer install 从不生成 composer.lock，仅依据已存在的 lock 文件安装精确版本；新项目首次需运行 composer update 才能生成 lock 文件。
为什么 composer install 有时不生成 composer.lock？
它根本不会生成——composer install 只读取已存在的 composer.lock，用来还原确定依赖版本。如果你项目里没有这个文件，运行它会直接报错：No composer.lock file present. Please run "composer install" to generate it.（注意：这句错误本身就有误导性，实际该建议你先跑 composer update）。
- 新项目第一次初始化依赖，必须用
composer update，它才会根据composer.json计算并写入composer.lock -
composer install的前提是composer.lock已存在；它不解决“从无到有”，只解决“从锁到装” - CI/CD 环境或部署服务器上应始终用
composer install，确保和开发环境完全一致；本地开发引入新包时才需composer update
composer update 和 composer install 的行为差异到底在哪？
核心区别不在“更新”或“安装”的字面意思，而在是否信任并复用 composer.lock。
-
composer update：忽略现有composer.lock（即使有），重新解析composer.json中所有约束（如"monolog/monolog": "^2.0"），找满足条件的最新兼容版本，然后覆盖写入composer.lock -
composer install：只看composer.lock，按里面记录的精确版本（如"monolog/monolog": "2.9.1"）下载安装，跳过任何版本计算 - 如果
composer.lock里记录的是 dev 分支（如"dev-main"），composer install也会强制检出那个 commit，不关心远程分支是否已有新提交
什么时候该删掉 composer.lock 再重生成？
不该轻易删。删了再跑 composer update 相当于把整个依赖树“重抽一次签”，可能引入不兼容变更、安全漏洞或静默行为变化。
- 只有明确需要彻底刷新依赖图谱时才考虑：比如迁移到 PHP 8.2 后发现一堆包不兼容，想批量找新版支持
- 更安全的做法是针对性更新：
composer update monolog/monolog --with-dependencies，只动相关链路 - 误删后别慌——只要
composer.json没变，composer update生成的新composer.lock虽然版本号可能不同，但语义约束仍有效；但团队协作中，这会导致同事的 lock 文件和你不同，引发合并不一致
composer.lock 文件里真正关键的字段有哪些？
它不是纯日志，而是一份带哈希校验的锁定快照。重点关注三个区块：
-
packages：列出每个包的精确版本、源类型（dist / source）、dist URL、shasum（用于校验压缩包完整性） -
packages-dev：仅开发依赖，生产环境composer install --no-dev会跳过这部分 -
content-hash：基于composer.json内容生成的哈希值；如果有人改了 json 但没跑 update，install 会警告 “Warning: The lock file is not up to date with the latest changes in composer.json.”
这个 hash 是防手抖的关键——它不校验 lock 文件本身是否被编辑，而是校验“json 变了但 lock 没同步”。很多人手动改 json 后忘了 update，结果 CI 上装出意料之外的版本。
