composer如何锁定依赖版本_禁止composer update更新特定包【重点】-composer-PHP中文网

正确做法是将包版本写死在composer.json中并提交composer.lock：如"monolog/monolog": "2.9.1"（无^/~），确保minimum-stability为stable，禁用无参数composer update。

composer如何锁定依赖版本_禁止composer update更新特定包【重点】

composer update 时跳过某个包不更新

直接加 --with-dependencies 不管用，真正生效的是 --with 和 --without ——但注意，composer update 本身不支持 --without，得换命令。

正确做法是用 composer update 显式列出要更新的包，把不想动的彻底排除在外：

想更新所有包，唯独不动 monolog/monolog：运行 composer update --with-all-dependencies 不行，它会连带更新 monolog；应该用 composer update vendor/package1 vendor/package2，手动列全其他依赖（不含 monolog）
更稳妥的做法是先查当前已装版本：composer show monolog/monolog，确认它是 2.9.1，再在 composer.json 的 require 里把它写死成 "monolog/monolog": "2.9.1"（不带 ^ 或 ~）
如果该包是子依赖（没出现在 require 里），就得靠 composer.lock 锁定：确保 composer.lock 已提交，且团队都禁用 composer update 全量执行

用 composer.lock 硬性阻止特定包升级

composer.lock 是实际生效的版本清单，只要它存在、没被删、没被 composer update 覆盖，指定包就不会变——但有个关键前提：你不能运行 composer update 时不加参数。

常见翻车点：

CI/CD 脚本里写了 composer update（无参数），等于全量刷新，lock 文件里锁的版本直接被忽略
本地执行 composer require some/pkg 时，如果它依赖更高版的 monolog，Composer 会强制升级并重写 lock，哪怕你之前锁死了
解决办法：把关键包加入 composer.json 的 require 并写死版本，例如 "phpunit/phpunit": "9.6.13"，这样即使其他操作触发更新，它也会被当作根依赖优先保护

require-dev 里的包也被 update 波及？

默认情况下 composer update 会同时处理 require 和 require-dev，除非你明确关掉 --no-dev。但问题常出在：你想锁住 phpunit/phpunit，但它只在 require-dev 里。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

这时必须同样写死版本，并注意：

composer update --no-dev 不会影响 dev 包，但你也更新不了它们——不是“跳过”，而是“完全不加载”
如果 CI 需要跑测试，又不允许升级 phpunit，就得在 CI 配置里固定 COMPOSER_NO_INTERACTION=1 + 确保 composer.lock 提交且未被修改
某些插件（如 hirak/prestissimo）已停用，新版 Composer 默认并行下载，但不影响锁定逻辑

为什么 “minimum-stability” 和 “prefer-stable” 会绕过你的锁定

这两个配置不直接改版本号，但会改变 Composer 解析约束时的倾向性。比如你写了 "monolog/monolog": "2.9.1"，看着很死，但如果 "minimum-stability": "dev"，Composer 可能无视你写的精确版本，去拉一个 dev-main 分支——尤其当其他依赖强烈要求时。

检查点：