必须用composer require vendor/package:version锁定版本，因composer install仅按composer.lock还原依赖，无视命令行参数；require的冒号分隔符唯一合法，其他写法均解析失败。
必须用 composer require vendor/package:version，其他命令或写法都不能可靠锁定版本。
为什么不能用 composer install 指定版本
composer install 的作用是严格按 composer.lock 文件还原依赖，它完全忽略命令行里写的任何包名或版本号。你输 composer install monolog/monolog:2.1.0，它会报 Unknown argument 或直接无视后面部分。想换版本，必须先改 composer.json 或用 require，再执行 install 或 update。
composer require 的版本写法必须严格
冒号 : 是唯一合法分隔符，@ 和 = 都会触发解析失败，报 Could not find a matching version。常见错误包括：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 写成
laravel/framework@9.52.7或laravel/framework=9.52.7—— 语法非法 - 写成
monolog/monolog:^2.1.0—— 这是范围约束，不是“指定版本”，会升到2.1.9甚至2.2.0 - 写成
v2.9.1（带v前缀）—— Composer 可能误判为分支名dev-v2.9.1，找不到匹配 - 包名大小写敏感：
monolog/monolog:2.1.0对，Monolog/Monolog:2.1.0错
装旧版或非 stable 版本时的典型卡点
报 no matching version 不一定是写错了，大概率是目标版本根本没发布、被标记为 abandoned，或当前 minimum-stability 太高（比如设了 stable，但你要的是 RC 或 beta）：
- 先查真实存在性：
composer show -a vendor/package列出所有可用版本（含 unstable） - 临时降级稳定性：
composer require vendor/package:9.0.0-RC1 --stability=RC - 如果 Packagist 页面显示该包已
abandoned，别硬装，替代包可能已修复关键 bug - 私有 Git 包必须在
repositories里正确配置"type": "vcs"，否则 Composer 根本不查那个源
验证是否真装对了，别只信 composer show
composer show vendor/package 输出的 versions 字段常显示 dev-main，这不代表实际代码是 main 分支最新提交——它只是 Composer 内部标识。真正要看的是：
-
composer.lock里对应包的version字段（应为2.1.0这类精确值） - 同文件中
source.reference字段（tag 对应 commit hash，可比对 Git 记录） - 进
vendor/vendor/package目录，运行git log -n1确认 HEAD 是否与预期一致
最容易被忽略的是：装完后没检查 composer.lock 是否更新，或者没提交它到 git；一旦别人拉代码跑 composer install，就还是旧版本——锁文件才是版本事实的唯一来源。
