唯一能真正固定包版本的方式是让composer.json中版本字段为无符号纯数字（如"monolog/monolog": "1.2.3"）且composer.lock已提交并用composer install部署；命令行仅composer require vendor/package:1.2.3或=1.2.3可锁死版本，其他含^、~等修饰符写法均不锁定。
唯一能真正固定包版本的方式，是让 composer.json 里该包的版本字段变成无符号纯数字（如 "monolog/monolog": "1.2.3"），且 composer.lock 已提交、部署时用 composer install —— 缺一不可。
composer require 怎么写才锁死版本
命令行里只有两种写法会被 Composer 当作精确版本处理：
-
composer require monolog/monolog:1.2.3→ 写入"monolog/monolog": "1.2.3"到composer.json -
composer require monolog/monolog=1.2.3→=是语法糖，效果完全等同
以下写法全部不锁死，哪怕只多一个符号：
-
monolog/monolog:^1.2.3允许升到1.9.9（只要主版本是1） -
monolog/monolog:~1.2等价于^1.2.0，允许1.2.x但不跨小版本 -
monolog/monolog:1.2不是1.2.0，而是被解析为^1.2，行为不稳定
关键判断：冒号或等号后面必须是纯数字字符串，不含 ^、~、*、> 等任何修饰符。
为什么写了 1.2.3 却装了别的版本
不是命令失效，而是环境或元数据干扰导致 Composer “绕过”了你的意图：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock里已存有更宽泛约束（如"monolog/monolog": "^1.2"），require默认复用 lock 文件逻辑，不会强制重算 - 本地缓存中存在旧 ZIP 包，Composer 直接解压后未校验是否匹配你写的
1.2.3 - 该 tag 根本没发布在 Packagist 上（比如作者只打了
1.2.2和1.3.0），Composer 自动 fallback 到最近可用版本 - PHP 版本不兼容：
monolog/monolog:1.2.3的composer.json声明了"php": ">=7.4"，而你本地是8.2，但它的某个子依赖只支持7.x，求解器被迫跳过该版本
验证方式：运行 composer show monolog/monolog，看输出列表里是否真有 1.2.3 这个 tag；再检查 vendor/monolog/monolog/ 下的 composer.json 中 version 字段。
dev-分支怎么才算真正锁定
写 "monolog/monolog": "dev-main" 只是拉最新 HEAD，每次 composer update 都可能变 —— 这不是锁定，是漂移。
- 真正锁定某次提交，必须用
dev-main#abc1234格式（abc1234是实际 commit hash） - 分支名含斜杠（如
feature/login-flow）需 URL 编码为feature%2Flogin-flow，否则解析失败 - 私有仓库用 SSH 地址时，确保运行
composer install的机器已配好对应 SSH key - CI 构建中若用了
dev-main，建议加--dry-run预检：composer update --dry-run看输出里该包的 commit 是否变动
长期维护 fork 更可持续的做法是：在 repositories 里声明 VCS 源，并在 fork 的 composer.json 中设 "version": "1.2.3-patch1"，然后 require 写 "1.2.3-patch1"。
为什么改了 composer.json 却没生效
根本原因在于 composer.lock 的状态和执行命令不一致：
- 把
"monolog/monolog": "^2.8.0"改成"2.8.1"后只跑composer install，仍会装2.8.0—— 因为composer.lock里还记着旧版本，而install只认 lock - 改完
composer.json后，必须运行composer update monolog/monolog（指定包）或全量composer update，才能更新 lock 文件 - CI 环境务必用
composer install，禁用update；否则 lock 被绕过，依赖树重新计算，结果不可控 -
composer.lock必须提交进 Git；被.gitignore掉、或有人手动删了再install，就等于放弃版本契约
最常被忽略的点：锁文件的 Git 状态比所有命令都重要。盯住它有没有被修改、有没有被跳过、有没有格式错误 —— 这些问题不会报“版本错”，只会报 Class not found 或 content-hash mismatch，排查成本远高于预防。
