必须在composer.json中写死无修饰符的纯版本号如"monolog/monolog": "2.9.1"才能真正锁定，带^、~、@、=等均为范围约束；composer.lock仅记录状态，不能替代json中的显式精确声明。
想让 Composer 每次都装同一个包、同一个版本，不升级、不漂移，必须在 composer.json 的 require 字段里写死纯数字版本号，例如 "monolog/monolog": "2.9.1"；任何带 ^、~、dev-、@dev、: 或 = 的写法，都不算精确匹配。
composer.json 里怎么写才算真正锁死
只有无修饰符的纯语义化版本字符串才表示精确锁定。Composer 不会自动加 ^ 或简化它——你写什么，它就认什么。
-
"vendor/package": "1.2.3"✅ 精确安装且禁止任何升级 -
"vendor/package": "^1.2.3"❌ 允许升到1.9.9（只要不破兼容） -
"vendor/package": "~1.2"❌ 只允许补丁升级，但仍是范围约束 -
"vendor/package": "dev-main"❌ 每次composer update都可能拉新提交 -
"vendor/package": "1.2.3 as 999.999.999"❌ 别名写法用于稳定化分支，不是精确版本
注意：composer.lock 是结果，不是声明；它不能替代 composer.json 层面的显式约束。团队里有人执行 composer update 后提交了新 lock，其他人 install 就会拿到新版本——除非 json 里也写了死版本。
composer require 命令怎么避免误升级
用 composer require 装指定版本时，语法错一个字符就可能装错分支或失败。最稳的是冒号分隔写法，且不能有空格、引号、等号或 @ 符。
-
composer require monolog/monolog:2.9.1✅ 自动写入"monolog/monolog": "2.9.1"到 json -
composer require monolog/monolog=2.9.1❌ 报Could not parse version constraint -
composer require monolog/monolog@2.9.1❌ 报Could not find a matching version -
composer require monolog/monolog: v2.9.1❌ 冒号后有空格，同样解析失败
如果包已存在，require 默认会尝试升级。加 --no-update 可先写入 json 再手动 composer update monolog/monolog，避免意外触发全量更新。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么装了精确版本，vendor 里还是旧代码
常见于流程中断、缓存残留或 lock 文件未更新。Composer 不会重装“满足约束”的已有包，哪怕你改了 json。
- 执行
composer require后没看到Installing dependencies日志 → 安装阶段实际没跑 -
composer.json改了，但没运行composer update vendor/package→vendor/里的文件不会变 -
composer.lock还存着旧版记录，且被提交到 Git →composer install仍会还原旧版 - CI 环境只拉代码、不保留 lock → 若 json 里没写死版本，就完全不可控
验证是否生效：检查 composer.lock 中对应包的 version 字段是否为 "2.9.1"，同时看 source.reference 是否为空（非 dev 分支才安全）。
精确版本在 update 时的行为边界
写了 "guzzlehttp/guzzle": "7.5.0" 并不意味着它永远不动。Composer 的依赖求解器有时会“劝你”升级它来解冲突。
-
composer update guzzlehttp/guzzle→ 默认跳过，提示Nothing to install or update -
composer update（无参数）→ 可能因其他包升级引发冲突，Composer 会建议你升guzzlehttp/guzzle到7.5.1或更高以满足新依赖 - 这种“劝升”行为无法关闭，只能靠
composer why guzzlehttp/guzzle查清谁在拉高要求
真正想杜绝变动，得配合 CI 流程：提交 composer.json + composer.lock，部署时只跑 composer install，并禁用 update 权限。否则，精确版本只是第一道防线，不是保险柜。
