使用确切版本号并提交composer.lock文件可锁定依赖，避免更新。指定如"monolog/monolog": "2.9.1"而非^或~范围，防止自动升级，结合lock文件确保环境一致。

在 composer.json 中锁定某个依赖包，防止其被更新，主要通过明确指定版本号来实现。Composer 默认会根据版本约束自动更新到兼容的最新版本，若要避免这种行为，需采取更严格的版本控制策略。

1. 使用确切版本号锁定

将依赖的版本号写死为具体版本，而不是使用波浪线（~）或插入符（^）等范围符号。

示例：

{
    "require": {
        "monolog/monolog": "2.9.1"
    }
}

这样 Composer 只会安装 2.9.1 版本，不会升级到 2.9.2 或更高。

2. 避免使用 ^ 和 ~ 符号

这些符号允许一定范围内的更新：

• ^2.9.1：允许更新到 2.10.0、2.11.0 等，但不跨大版本（即不超过 3.0.0）
• ~2.9.1：允许更新到 2.9.x 的最新版，如 2.9.5，但不会到 2.10.0

如果不想更新，就不要用这些前缀。

3. 使用 @no-upgrade 注释（非官方，部分工具支持）

虽然 Composer 本身不识别注释来阻止升级，但某些第三方工具或团队规范中会使用注释提醒不要升级。

GitHub & Developer Data

面向AI代理的GitHub及开发者数据——仓库元数据（星标、语言、许可证）、仓库审计与风险评分、用户资料、最新发布和gist内容...

下载

{
    "require": {
        "symfony/http-foundation": "5.4.0" // @no-upgrade 项目兼容性要求固定版本
    }
}

这仅是人为约定，不能强制阻止更新。

4. 锁定后保持 composer.lock 文件

运行 composer install 时，Composer 会优先遵循 composer.lock 文件中的版本。只要该文件存在且提交到版本控制，所有环境都会安装相同版本。

要确保包不被更新，除了固定版本号，还应提交 composer.lock 到 Git 等版本系统。

基本上就这些。关键是用确切版本号 + 提交 lock 文件，就能有效锁定依赖。简单但容易忽略的是用了 ^ 导致“看似固定实则更新”。