composer包版本管理需协同composer.json约束、composer.lock快照、git tag发布、packagist同步四层；^2.3.1最常用，~2.3.1更保守；tag须为轻量tag并推送，packagist需启用自动更新；dev-main与v1.2.3可共存；lock文件锁定完整依赖快照，ci必须用install且提交lock。
Composer 包版本管理不是“写对版本号就完事”，而是围绕 composer.json 约束、composer.lock 快照、Git Tag 发布、Packagist 同步这四层联动运转。漏掉任何一层，都会出现“本地能装，线上报错”“打了 Tag 却 require 不到”“dev-main 和 v1.2.3 冲突”这类问题。
怎么写 composer.json 的版本约束才不翻车
版本约束不是越宽越好，也不是越死越好——它得和你实际想控制的升级粒度匹配。
-
^2.3.1是最常用也最安全的写法：允许升到2.9.9，但绝不会到3.0.0；注意^0.2.3只允许0.2.x，因为0.x被视为不稳定开发版 -
~2.3.1更保守：等价于>=2.3.1 ，适合对次版本变更敏感的场景（比如 Laravel 框架） - 别写
"monolog/monolog": "^2.*"——*不是合法语法，会直接报Your requirements could not be resolved - 分支引用如
"dev-main"或"dev-develop"不参与语义化版本计算，^和~对它们完全无效
为什么打了 v1.2.3 还 require 不到
现象很典型：git ls-remote --tags origin 能看到 v1.2.3，但 composer require vendor/package:1.2.3 报 Could not find package。这不是 Composer 问题，而是 Packagist 没同步成功。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Tag 必须是轻量 Tag：
git tag v1.2.3，不是git tag -a v1.2.3；Annotated Tag 若没写 message，旧版 Packagist 可能解析失败 - Tag 必须推送到远程：
git push origin v1.2.3，只本地打 tag 没用 - 仓库必须在 packagist.org 上启用自动更新：Settings → “Automatically update the package on new commits?” 要勾选
- Tag 名不能含非法字符：
v1.2.3-beta.1+build.1这类带+的语义化版本后缀，Packagist 会跳过 -
composer.json中的"version"字段必须和 Tag 名一致；如果 Tag 是v1.2.3，但composer.json里写了"version": "1.2.4"，Packagist 会拒绝同步
dev-main 和 v1.2.3 能不能共存
完全可以，而且应该共存。它们不是互斥关系，而是面向不同使用场景的并行版本通道。
-
v1.2.3提供稳定、测试过的发布版，适合生产环境require "vendor/package": "^1.2" -
dev-main提供最新开发快照，适合内部集成测试或快速验证新功能：composer require vendor/package:dev-main - 两者在 Packagist 上是独立条目，Composer 解析时互不影响；
dev-main不会覆盖v1.2.3，也不会因打新 Tag 就自动失效 - 若想让
dev-main始终指向 main 分支最新 commit，确保该包在 Packagist 已启用自动更新，或在项目中显式配置 VCS repository
lock 文件到底锁了什么、什么时候该动它
composer.lock 锁的是“这一次全局依赖求解出的完整结果”，不是你 composer.json 里写的那些范围。
- 它包含每个包的精确版本、来源（dist / source）、SHA256 校验和、以及该包自己的依赖声明——这些共同构成可复现的安装快照
-
composer install只读 lock，不看composer.json新增的 require；改了composer.json却不update，别人install还是旧版本，且不会报错 -
composer update会重算整棵树、更新 lock；composer update --lock不执行安装，只校验 lock 是否仍满足当前composer.json和 platform 配置 - CI 环境必须用
composer install --no-interaction，且composer.lock必须已提交；删 lock 再 install，等于重新 update，结果不可控
真正容易被忽略的是 platform 配置和 PHP 版本约束的联动：你在 composer.json 里写了 "php": "^8.1"，但本地是 PHP 8.3，而生产是 8.1.10 —— 如果不加 "config": {"platform": {"php": "8.1.10"}}，Composer 可能选到只兼容 8.3 的包版本，部署时直接失败。
