^1.2.3 升级到 1.9.0 是因脱字号允许主版本内次版与修订版自由升级，等价于 >=1.2.3 =8.1.0
Composer 的 ^（脱字号）版本约束默认启用，但“脱字号版本约束”本身不是可开关的功能，而是语义化版本解析规则的一部分；你不能“关闭它”，但可以明确绕过它——关键在于用更严格的版本写法替代 ^。
为什么 ^1.2.3 会升级到 1.9.0 而不是卡死在小版本？
^ 的设计目标是允许兼容性升级：只要主版本号不变，就允许次版本和修订版本自由升级。也就是说，^1.2.3 等价于 >=1.2.3 。它不是 bug，是 Composer 对 SemVer 的默认实现逻辑。
常见错误现象：composer update 后依赖突然跳到新次版本，导致接口变更或行为不一致，而你只改了 composer.json 里的一个 patch 号。
-
^1.2.3→ 允许1.x.x中任意更高版本（含1.10.0、1.99.9） -
~1.2.3→ 等价于>=1.2.3 ，只允许修订版升级 - 想完全锁死？直接写
"1.2.3"（字符串字面量，无任何前缀）
如何让某个包彻底不升级，连 composer update vendor/package 都不碰它？
靠约束写法还不够，得配合 Composer 自身的锁定机制。仅靠 "1.2.3" 能防自动升级，但手动运行 composer update vendor/package 仍会查最新匹配版本——除非你同时固化锁文件行为。
- 写死版本：
"vendor/package": "1.2.3"（去掉^和~） - 确保
composer.lock已提交，并在 CI/部署中使用composer install（而非update） - 如需临时禁止某包参与
update，加--with-dependencies不够，得用composer update --lock或删掉该包再重装
^ 在 PHP 版本约束里也生效吗？比如 "php": "^8.1"
生效，而且影响更隐蔽。PHP 本身不是 Composer 包，但 composer.json 中的 php 字段是环境约束，^8.1 表示允许 8.1.0 到 9.0.0 之前的任意版本——这意味着如果你本地是 8.1.20，CI 用 8.2.12 也可能通过检查，但某些扩展或语法可能已不兼容。
-
"php": "8.1.*"更安全，等价于>=8.1.0 "php": ">=8.1.0 最清晰，无歧义- 不要依赖
^8.1来“自动适配小版本”，PHP 小版本之间也可能有 BC break（如8.1 → 8.2移除了mysql_connect()）
真正容易被忽略的点：即使你把所有包都写成 "1.2.3"，只要 composer.lock 没提交或被忽略，别人 install 时仍会按当前最新兼容版本安装——^ 规则只在生成 lock 文件时起作用，而 lock 文件才是最终执行依据。
