Composer没有“最低版本”概念，只有版本约束；^1.2.3表示>=1.2.3且=1.2.3且
Composer 不提供“最低版本”这一概念，只有“可接受的版本范围”。你真正要配的是版本约束（version constraint），它决定哪些版本能被选中安装。
为什么写 ^1.2.3 不等于“至少装 1.2.3”
这个符号表示 >=1.2.3 ，它允许 Composer 在范围内选任意满足条件的版本，比如 1.2.3、1.9.9，甚至 1.2.10——只要没冲突。它不保证装上你写的那个数字，也不阻止装更低 patch 版本（如 1.2.3 范围内 1.2.4 比 1.2.3 更新，就更可能被选中）。
- 想锁死某个具体版本，必须去掉符号：
"monolog/monolog": "1.2.3" - 想允许小版本升级但禁止主版本跃迁，用
~1.2.3（等价于>=1.2.3 ） - 写成
1.2.*或1.2.x效果相同，但语义模糊，不推荐 - 如果依赖树里有其他包硬性要求
monolog/monolog: ^1.2.0，而你写了"monolog/monolog": "1.2.3"，Composer 仍会接受——因为 1.2.3 满足 ^1.2.0
composer update vendor/package 为什么会跳过你的旧版本？
当你在 composer.json 中把一个包改成旧版（如 "symfony/console": "5.4.33"），然后运行 composer update symfony/console，它不一定成功。常见原因：
- 该旧版本要求的 PHP 版本低于当前环境（比如它只支持
>=7.2.5，而你本地是 PHP 8.2）——Composer 会直接跳过，不报错，只安静忽略 - 它的某个子依赖（sub-dependency）已被其他包锁死在更高版本，形成冲突
- 你没加
--with-all-dependencies，导致 Composer 只更新目标包本身，不调整其依赖链，结果无解 - 执行前没删掉
composer.lock里旧记录，或没运行composer update --lock同步约束变更
如何确认 Composer 实际用了哪个版本？
别只看 composer.json 里怎么写的，最终行为以 composer.lock 为准。验证方式：
- 运行
composer show monolog/monolog，看输出第一行的 actual installed version - 运行
composer show -t | grep monolog，查它在依赖树里被谁拉入、受谁约束 - 运行
composer why-not monolog/monolog:1.25.5，如果返回具体包名，说明是那个包在压低版本 - 检查
composer.lock文件里对应包的version字段，这才是真实安装结果
最容易被忽略的一点：版本约束不是独立生效的。它始终嵌在整张依赖图里，哪怕你写死了 "foo/bar": "1.0.0"，只要 laravel/framework 声明了 "foo/bar": "^2.0"，Composer 就会拒绝安装——它优先满足顶层约束，而不是你手写的那一行。
