精确锁定包版本需在composer.json中写死三位号如"monolog/monolog": "2.11.0"，改后必须运行composer update monolog/monolog更新composer.lock，部署时仅执行composer install才能按lock文件严格还原版本。
怎么在 composer.json 里真正锁死一个包的版本
只写 "monolog/monolog": "2.11.0" 这种精确三位号，才是锁定；写 "^2.11"、"~2.11"、甚至 "2.11"（缺补丁号）都不算——后者在不同 Composer 版本里可能被解析成 2.11.0 或 2.11.x，行为不一致。
- 改完
composer.json后，必须运行composer update monolog/monolog（指定包名），否则composer.lock不会更新，等于白改 - 不要用
composer update（无参数）来“同步”，它会重新解析整棵树，可能连带升级其他包 - 如果该包已被其他依赖间接要求更高版本，仅改
composer.json可能触发冲突，此时需先composer why-not monolog/monolog:2.11.0查原因
为什么 composer install 才是生效的关键动作
composer.lock 本身只是快照，不执行任何锁定逻辑；真正起作用的是 composer install —— 它会严格按 lock 文件里的 version、dist.sha256、安装路径还原，完全忽略 composer.json 中写的约束。
- CI/CD 或新机器部署时，必须确保
composer.lock已提交到 Git，并只运行composer install - 误删
composer.lock后直接跑composer install，等同于静默执行一次composer update，版本必然漂移 - CI 报
Your lock file is out of sync，不是警告要压掉，而是说明composer.json和composer.lock不一致，得判断：是该composer install保持现状，还是composer update接受变更
临时跳过某个包更新的两种可靠方式
不是所有场景都需要永久锁定，有时只是调试期间不想动某包。这时别碰 composer.lock，也别删 require，用命令级绕过更安全。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Composer 2.2+：直接
composer update --ignore=laravel/framework，跳过该包及其子依赖的更新检查 - 旧版或兼容性考虑：
composer update vendor/package-a vendor/package-b，只列出想更新的包，漏掉那个就行 - 注意：
--ignore不解除依赖校验——如果其他包在composer.json中硬性要求monolog:^3.0，仍会报冲突，它只是跳过安装步骤
怎么确认当前到底锁的是哪个版本
别猜，也别只看 composer.json；实际装了什么，以 composer.lock 和 composer show 输出为准。
- 查
composer.lock：搜索包名，找"version": "v2.9.2"字段，带v前缀或+git后缀的多半不是稳定版 - 查已安装状态：
composer show monolog/monolog，输出中versions行显示的是 lock 记录的版本，不是composer.json的约束 - 部署前快速验证：
composer install --dry-run会模拟安装过程，告诉你是否要变更包版本
最常失效的环节不在写法，而在操作链断掉：改了 composer.json 却没运行对应 update 更新 lock，或忘了把 lock 提交进 Git，又或者部署时用了 update 而非 install。这三个动作没闭环，再精确的版本号也锁不住。
