最可靠回滚方式是用 composer require 锁定版本，如 composer require vendor/package:1.2.3；若仅更新声明则加 --no-update；依赖 composer.lock 时用 composer install 精确还原；git 可找回旧 lock 文件；composer update 不支持降级。
直接用 composer require 锁定版本最可靠，composer update 默认不回滚，盲目删 vendor 或改 composer.lock 容易出错。
用 composer require 强制重装指定版本
这是最安全、最常用的回滚方式——它会更新 composer.json 和 composer.lock，并重装包。适合你明确知道目标版本号的场景。
- 回滚单个包：
composer require vendor/package:1.2.3（例如composer require monolog/monolog:2.9.1） - 如果该包已在
composer.json中声明，加--no-update可先只改声明：composer require vendor/package:1.2.3 --no-update，再手动运行composer install - 注意：如果目标版本与现有其他依赖冲突，命令会报错并提示冲突项，不能强行跳过
用 composer install 恢复到 composer.lock 记录的版本
当你只是想“回到上次 composer install 的状态”，而不是某个任意历史版本，就别碰 require 或 update——composer install 本身就能精确还原。
- 前提：你的
composer.lock文件没被删或覆盖，且内容仍是目标版本的快照 - 执行
composer install（不是update），它会严格按lock文件安装，哪怕composer.json里写的是^2.0 - 如果
vendor已损坏但lock还在，删掉vendor目录后运行composer install即可干净重建
从 Git 历史找回旧版 composer.lock 再安装
如果你之前提交过 composer.lock，而当前 lock 文件已升级到你不想要的版本，Git 就是你的版本回退工具。
- 查历史提交：
git log --oneline -- composer.lock - 检出某次提交的 lock 文件：
git checkout abc1234 -- composer.lock（abc1234 是含旧 lock 的提交哈希） - 然后运行
composer install，它就会按那个旧 lock 安装全部依赖 - ⚠️ 注意：不要只改 lock 文件里的某一行版本号——校验和（
content-hash）会失效，install会拒绝执行
为什么不用 composer update vendor/package 回滚？
因为 composer update 的设计目标是“升级到符合约束的最新版”，它不支持降级语义；即使你写 composer update vendor/package:1.2.3，Composer 也会报错：[InvalidArgumentException] Package "vendor/package" is not required in your composer.json.
-
update只接受包名，不接受带版本号的参数（除非用require配合--update-with-dependencies） - 试图用
update降级，往往触发意外的其他包升级，破坏一致性 - 真正需要降级时，
require+ 版本号 是唯一语义清晰、行为可预期的方式
最容易被忽略的一点：回滚后务必检查 vendor/autoload.php 是否仍能正常加载，尤其当包内类名、命名空间或文件结构在版本间有变更时——Composer 不校验运行时兼容性，只管装完。
