Composer update –lock命令：如何仅更新Lock文件哈希而不升级包？

composer update –lock 不仅更新哈希，而是重新生成整个 composer.lock 文件，包括版本、依赖树、URL 和哈希；它不升级包但可能因约束满足而改变实际版本。

composer update –lock 只更新 lock 文件哈希值吗？

不是。执行 composer update --lock 时，Composer 并不会“只更新哈希”，而是会重新解析 composer.json 中的约束（比如版本范围、平台配置、require-dev 等），然后**重新生成整个 composer.lock 文件**——包括所有包的版本、完整依赖树、下载 URL 和哈希值。它不升级包，但可能改变包的实际版本，只要仍满足 composer.json 中的约束。

什么情况下 composer update --lock 会改变已安装的包？

常见于以下场景：

• composer.json 中某个包写的是 "monolog/monolog": "^2.0"，之前锁的是 2.9.1，而新版本 2.10.0 已发布且兼容，--lock 可能将其更新为 2.10.0
• 修改了 config.platform.php 或 platform.ext-xxx，导致某些包因平台兼容性变化而被替换为其他版本
• 添加/删除了 require-dev 包，或更改了其版本约束，即使没运行 install，--lock 也会反映在 lock 文件中
• 切换了仓库源（如从 packagist.org 换成私有镜像），同一版本包的 dist URL 或哈希可能不同，lock 文件必然更新

如何真正只更新哈希、不改任何包版本？

Composer 本身没有“仅刷新哈希”的原生命令。但你可以用下面这个安全组合达成等效效果：

composer install --no-scripts --no-plugins

前提是：

• composer.lock 已存在且与当前 composer.json 兼容
• 你**没有改动过 composer.json 的依赖声明**（即 require / require-dev 版本约束）
• 你只是想让 lock 文件中的 content-hash 和各包的 dist.shasum 与当前环境一致（例如 CI 构建后校验、PHP 版本变更后重算平台哈希）

此时 composer install 会读取 lock 文件并验证所有哈希；若本地文件缺失或哈希不匹配，它会重新下载并写入正确哈希——但不会改变任何包的版本号或结构。

为什么不能靠手动编辑 composer.lock？

因为 composer.lock 是一个强一致性文件：顶层 content-hash 是对 composer.json 内容（含注释、空格、换行）的 SHA256，而每个包的 dist.shasum 是对应 ZIP/TAR 包的校验值。手动修改任一哈希都会导致：

• 下次运行 composer install 或 update 时触发全量重解析
• CI 流水线校验失败（如 composer validate --strict 报错）
• git diff 显示大量无关变更，掩盖真实依赖变动

真正需要“只刷哈希”的时候，往往说明你已经绕过了 Composer 的标准流程——这时候该检查的是构建环境一致性，而不是硬改 lock 文件。