conflict 在依赖解析完成、准备写入 composer.lock 的最后一刻起作用；只要最终选中的包版本落在 conflict 声明范围内，就中断并报错。
conflict 不是“防止安装”的开关，而是声明“我明确不兼容”的契约——它只在 composer install 或 composer update 解析出冲突版本时才报错，且对已锁死的 composer.lock 里的旧版本完全无效。
conflict 什么时候真正起作用？
它只在依赖解析完成、准备写入 composer.lock 的最后一刻做“验收检查”：只要最终选中的某个包（无论直接 require 还是间接引入）的版本落在 conflict 声明范围内，就中断并报错。
- ✅ 触发：执行
composer require guzzlehttp/guzzle:^7.5，而你的composer.json中有"conflict": { "guzzlehttp/guzzle": ">=7.5.0, - ⚠️ 不触发：你已经装了
guzzlehttp/guzzle:7.4.5，即使conflict写了"guzzlehttp/guzzle": "^7.5"—— 它不会回滚或阻止已有安装 - ⚠️ 不触发：
composer require laravel/framework:10.0成功了，但它的子依赖带进来了symfony/console:6.2.0，而你conflict里只写了"symfony/console": "6.3.*"—— 版本不匹配，不报错
怎么写才真正拦截住问题版本？
关键不是“想拦”，而是“能拦到”：必须让约束字符串精准覆盖实际可能被解析出的版本路径。Composer 不支持逻辑或（||），多个区间得拆成多条独立规则。
- ❌ 错误写法：
"guzzlehttp/guzzle": ">=7.5.0, =7.6.0, （语法不识别，整条失效） - ✅ 正确写法：
"conflict": { "guzzlehttp/guzzle": ">=7.5.0, =7.6.0, - ✅ 拦整个大版本：
"guzzlehttp/guzzle": "^8.0"（等价于>=8.0.0 ） - ⚠️ 避免用
!=："!=7.5.0"挡不住7.5.1，改用>=7.5.0, 更可靠
conflict 和 require 同时存在时谁说了算？
require 是前提，conflict 是红线：Composer 先尝试满足所有 require，再校验结果是否踩了 conflict。一旦两者无法共存，直接报错，不妥协、不降级、不提示替代方案。
- 例如：
"require": { "monolog/monolog": "^2.0" }+"conflict": { "monolog/monolog": "^2.8" }→ 如果^2.0最终解析出2.9.0，就失败 - 它不会自动退回到
2.7.0；也不会建议你换^1.0—— 它只告诉你：“你要求的范围和你声明的禁区重叠了” - PHP 本身是平台包，
"conflict": { "php": "8.0.*" }必须配合"require": { "php": "^8.1" }才有意义，否则 Composer 可能选一个“不违反 conflict 但也不满足你运行需求”的 PHP 版本
验证 conflict 是否生效的唯一靠谱方式
别靠猜，删掉 vendor/ 和 composer.lock，然后跑一次 composer install，看它是否真的报错且错误信息里含 conflict 关键字。
- ✅ 有效标志：错误中出现
Conclusion: don't install ... because ... is conflicting - ❌ 无效信号：没报错，或报错是
Your requirements could not be resolved（那是 require 冲突，不是 conflict 生效） - ⚠️ 注意：
composer update --dry-run不触发 conflict 检查，它只模拟 resolve 阶段，不走 final validation
最容易被忽略的是：conflict 不改变依赖树结构，也不参与求解过程——它只是最后一道门禁。很多人写了却没效果，往往是因为版本约束写得不够准，或者根本没走到那一步（比如锁文件里早就有旧版本了）。真要防住，得先搞清楚自己到底在防谁、防哪个具体版本段。
