~1.2.3允许安装≥1.2.3且
波浪号 ~ 不是“差不多就行”的模糊匹配，它是一条有数学边界的版本锁：写到哪一位，就卡死在哪一级的升级上限。用错会锁死不该锁的版本，或放行不该升的变更——尤其在支付、金融类项目里，~2.7.4 和 ^2.7.4 差的不是补丁，是线上是否挂掉。
~1.2.3 允许装哪些具体版本？
它等价于 >=1.2.3 ，只放行 1.2.x 中所有 ≥1.2.3 的修订版：
-
1.2.3、1.2.4、1.2.15、1.2.999都合法 -
1.3.0一丁点都不让进，哪怕只改了一个文档 typo -
1.2.2被拒绝，因为不满足>=1.2.3
常见误判是以为 ~1.2.3 ≡ “1.2 开头都行”，其实它连 1.2.0 都不要。
~1.2 和 ~1.2.0 是一回事吗？
是的，~1.2 在 Composer 内部自动补全为 ~1.2.0，语义都是 >=1.2.0 ：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 允许
1.2.0、1.9.9、1.99.999 - 拒绝
2.0.0，哪怕只是主版本号+1 - 但注意：
~1.2会接受1.9.0—— 次版本号从 2 升到 9 是完全允许的
别指望它“保守”到只升补丁；它保守的是主版本不跨，次版本随便你飙到 99。
~0.8.2 为什么比 ^0.8.2 更窄？
因为 0.x 阶段语义化版本规定：次版本号变更也可能破坏兼容性。所以 ~0.8.2 是 >=0.8.2 ，而 <code>^0.8.2 也是 >=0.8.2 —— 这俩此时行为一致。但关键区别在写法意图：
-
~0.8.2明确表达“我就要 0.8.x，且至少 0.8.2”，哪怕 0.8.100 发布了也欢迎 -
^0.8.2是按 SemVer 规则推导出同样范围，但语义是“守兼容性”，容易让人误以为 0.9.0 也安全（其实不） - 真实踩坑点：
~0.8≠~0.8.0—— 前者被解析为>=0.8.0 ，后者同理；但如果你写了 <code>~0.8.0，别人一眼就知道你盯死了 0.8.x
上线前该用 ~ 还是 ^？
看你的测试覆盖和信任程度：
- 已完整测试过
2.7.x全系列，但没测2.8.0，且已知它含未兼容变更 → 用"monolog/monolog": "~2.7.4" - 想自动获得所有 2.x 安全补丁和小功能，且主包维护活跃、CI 充分 → 用
"monolog/monolog": "^2.7.4" - 别把
~用在require-dev里锁运行时依赖——它只约束开发包，对生产环境无效 - 一旦
composer.lock存在，composer install就完全忽略composer.json里的~，只照锁文件装；重装前先确认 lock 文件没被误删
最常被忽略的一点：~2.8 看似宽松，实则永久封禁 2.9.0 —— 这不是 bug，是设计。上线前跑一遍 composer show -i | grep your-package，亲眼确认当前装的是不是你“以为”的那个范围。
