composer require 默认不锁定版本，它写入的是带插入符（^）的约束，如"monolog/monolog": "^2.9.1"，下次composer update仍可能升到2.9.9或2.10.0；真正锁定需用无符号纯版本如"2.9.1"并提交composer.lock后运行composer install。
composer require 默认不锁定版本，它写入的是带插入符（^）的约束，不是精确版本。 你执行 composer require monolog/monolog:2.9.1，最终 composer.json 里出现的会是 "monolog/monolog": "^2.9.1"，下次 composer update 仍可能升到 2.9.9 或 2.10.0（只要没跨主版本）。这不是 bug，是设计行为。
composer require 后为什么版本还是动了
根本原因在于：命令本身不区分“装哪个版本”和“锁死哪个版本”。它只做一件事——把符合语义化规则的最小兼容约束写进 composer.json。
-
composer require foo/bar:1.2.3→ 写入"foo/bar": "^1.2.3"（等价于>=1.2.3 ） -
composer require foo/bar:1.2→ 写入"foo/bar": "^1.2.0"（注意补丁位被自动补全） -
composer require foo/bar:dev-main --stability=dev→ 写入"foo/bar": "dev-main"，但该分支每次update都可能变
你以为在指定版本，其实你在声明一个可升级区间。真正生效的是 composer.lock 文件里记录的解析结果，而不是 composer.json 表面写的字符串。
想灵活调整范围又不意外升级，得改写法
要让 require 命令产生你想要的约束，必须显式控制符号：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 要允许小版本升级（如 2.9.x → 2.10.x），用
composer require monolog/monolog:^2.9（明确加^） - 要只允许补丁升级（如 2.9.1 → 2.9.9），用
composer require monolog/monolog:~2.9.1（注意是~，不是^） - 要匹配所有 2.x，用
composer require monolog/monolog:^2，别写2.*（非法语法，直接报错） - 要兼容多个主版本（如 1.x 或 2.x），用
composer require monolog/monolog:"^1.0 || ^2.0"（引号包裹，空格和||是分隔符）
这些写法都会被原样写入 composer.json，不会被自动改写。但注意：~2.9 等价于 ~2.9.0，而 ~2.9.1 才真正限制在 2.9.x 区间内 —— 补丁号不能省。
生产环境真要锁定，不能只靠 require 命令
命令只是起点，锁定靠的是组合动作：
- 先用
composer require monolog/monolog:2.9.1（无符号）→ 强制写入"2.9.1"到composer.json - 立刻运行
composer update monolog/monolog，让 Composer 把这个“纯数字”解析为精确匹配，并更新composer.lock - 把
composer.lock提交进 Git；所有环境统一用composer install（不是update） - 可选加固：在
composer.json加"minimum-stability": "stable"和"prefer-stable": true，防意外拉到-beta或-rc版本
漏掉任何一步，比如只改了 composer.json 却没跑 update，或没提交 lock 文件，CI 就可能装出完全不同的版本 —— 这类问题在线上最隐蔽，也最难回溯。
真正难的不是写对命令，而是理解 require 只负责声明、lock 才负责落实、install 和 update 的行为差异比表面看起来大得多。很多团队线上出问题，不是因为没锁，而是锁的姿势不对，或者锁了却没让所有人按同一套流程走。
