composer 锁定版本的关键在于提交并信任 composer.lock 文件；若其缺失或过期，install 会自动回退为 update 行为，导致意外升级。
Composer 默认不会自动锁定已安装的依赖版本，composer install 仅按 composer.lock 还原，而 composer update 会无视 lock 文件重新解析并升级——所以“锁定版本”的关键不是某个开关，而是你是否提交并信任 composer.lock，以及是否误用了 update。
为什么 composer install 有时还是会升版本？
常见原因是本地没生成或没提交 composer.lock，或者别人改了 composer.json 但没更新 lock 文件就直接 commit。此时你运行 composer install，Composer 会发现 lock 文件缺失/过期，自动 fallback 到 update 行为（带警告但不报错）。
- 检查是否存在
composer.lock：ls -l composer.lock - 确认 lock 文件是否与
composer.json同步：composer validate会提示 lock 文件过期 - 团队协作中，必须把
composer.lock提交到 Git —— 它不是“缓存”，是部署一致性契约
如何禁止 composer update 升级特定包？
用 --with-dependencies 或精确指定包名可避免全量升级，但更可靠的是显式冻结版本号：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
composer.json中写死版本："monolog/monolog": "2.9.1"（不带^或~） - 用
composer require monolog/monolog:2.9.1 --no-update先写入 JSON，再composer install确保 lock 文件只含该版本 - 避免
composer update monolog/monolog单独执行——它仍可能升级其子依赖，除非你同时加--with-dependencies并确认子依赖也锁死
composer.lock 被意外修改怎么办？
Git 提交前未注意 lock 文件变更，会导致不同环境行为不一致。典型现象：CI 构建失败、本地能跑线上报 Class not found。
- 恢复 lock 文件最安全方式：
git checkout -- composer.lock（前提是已提交过可信版本） - 若需重生成 lock 文件且保持现有版本不变：
composer update --lock（仅重写 lock，不更改任何包版本） - 检查哪些包实际被改了：
composer show --outdated，它只对比 lock 和仓库最新版，不触发安装
真正难控的不是“怎么锁”，而是团队对 composer.lock 的认知偏差——有人把它当临时文件删掉，有人在没跑 install 前就改了 json 并 push，这些操作都会让“锁定”失效。盯住 lock 文件的 Git 状态，比记住所有命令更重要。
