Composer 不能直接锁定 PHP 扩展（ext-*），因为它不管理扩展的安装或版本，仅声明运行时依赖；ext-* 在 composer.lock 中仅记录本地校验状态，无实际版本固化能力。

Composer 为什么不能直接锁定 PHP 扩展（ext-*）？

这里有个常见的误解需要澄清：Composer 本身并不负责管理 PHP 扩展的安装或版本。它的核心工作是下载和加载 PHP 包。当你看到 composer.json 里出现 ext-* 时，这其实是一种声明式的约束，意思是“项目运行起来，必须得有这个扩展”。但它仅仅是个声明，Composer 既不会因此去帮你安装扩展，也不会在 composer.lock 文件里固化一个版本号——原因很简单，PHP 扩展本身就没有 Composer 能理解和处理的“语义化版本号”。

所以，你可能会在 composer.lock 里发现类似 "ext-zip": "*" 的条目。别误会，这可不是锁定了 zip 扩展的 1.2.3 版本。这只是 Composer 在生成锁文件时，顺手记录了一下：“当时校验环境，发现 zip 扩展是存在的。” 一旦你换到另一台机器，如果那台机器压根没装 zip 扩展，那么执行 composer install 会直接失败告终，它可不会尝试找个旧版本给你装上，或者干脆跳过。

如何让 ext 依赖真正“可复现”？

单靠 Composer 是做不到这一点的。真正的解决方案，必须结合运行环境的严格控制。这才是保证团队协作和部署一致性的关键。

• 显式环境检查：在部署流程或 CI/CD 脚本里，加入明确的检查步骤。比如用 php -m | grep zip 或者直接在 PHP 脚本里调用 extension_loaded('zip') 来验证。
• 容器化环境锁定：在 Docker 环境中，这是最佳实践。在 Dockerfile 里显式安装所需扩展，例如 RUN docker-php-ext-install zip。同时，务必固定基础镜像的标签（比如从模糊的 php:8.2-cli 改为精确的 php:8.2.15-cli），从根源上锁定环境。
• 谨慎使用 platform 配置：开发或测试时，有时为了绕过依赖检查，会在 composer.json 里这样配置：

  "config": {
    "platform": {
      "ext-zip": "0.0.0"
    }
  }

  这相当于告诉 Composer：“别管了，就当 zip 扩展已经装好了。” 但务必记住，这只是个“障眼法”，并没有真正解决问题。在上线前，一定要关闭这个配置。

常见错误：ext-* 写错导致 composer install 直接中断

很多开发者都遇到过这个令人头疼的报错：

Your requirements could not be resolved to an installable set of packages.
  Problem 1
    - Root composer.json requires ext-gd * but it is missing from your system.

遇到这种情况，可以按以下顺序排查：

• 确认扩展名拼写：这是最容易出错的地方。注意，是 ext-mbstring 而不是 ext-mb_string，是 ext-opcache 而不是 ext-cache。
• 检查当前 PHP 环境：运行 php --ini 查看 CLI 使用的配置文件，再用 php -m 列表确认目标扩展是否已加载。
• 系统包管理安装：在 Linux 上，不同发行版的安装命令不同。Ubuntu/Debian 系通常是 sudo apt install php-zip，而 CentOS/RHEL 系可能是 sudo yum install php-pecl-zip，安装时要注意 PHP 版本后缀。
• Windows 用户特别注意：PHP 官方提供的 Windows 二进制包，默认不会启用所有扩展。你需要手动编辑 php.ini 文件，去掉对应扩展行前面的分号（例如将 ;extension=gd 改为 extension=gd）。

ext-* 和 php 版本约束怎么配合才安全？

扩展的可用性往往比 PHP 版本本身更复杂。比如，ext-sodium 虽然从 PHP 7.2 开始成为核心扩展，但某些旧版 Linux 发行套件中的 PHP 7.4 可能仍需手动编译安装。再比如，在 Alpine Linux 上使用 ext-pdo_pgsql，可能还需要额外运行 apk add postgresql-client 才能成功加载。

安全的声明方式是这样的：

• 在 composer.json 中同时声明 PHP 版本和扩展依赖：

  "require": {
    "php": "^8.1",
    "ext-pdo": "*",
    "ext-pdo_pgsql": "*"
  }

• 善用 composer show --platform 命令。它可以列出当前环境满足的所有平台依赖（包括 PHP 版本和扩展），帮你避免“本地开发一切正常，但一到 CI 环境就失败”的尴尬局面。
• 记住，不要给扩展指定版本号，像 "ext-xml": ">=1.0.0" 这样的写法是无效的。Composer 会忽略版本号，只认 * 或空值。

最后，分享一个在 Docker 构建中极易被忽略的细节：php -v 和 php -m 必须在同一层执行。如果你先 RUN apt install 安装了扩展，又 RUN pecl install 安装了 PECL 扩展，但没有重启 PHP-FPM 或重新加载配置，那么在同一构建层紧接着执行 composer install 时，PHP CLI 进程可能还没有加载这些新扩展，从而导致依赖检查失败。正确的做法是，确保扩展安装和配置加载在同一个 RUN 指令中完成，或者将 composer install 放在后续的层中执行。