最可靠方法是将包版本写死为精确版本（如"monolog/monolog": "2.9.1"），立即执行composer update该包更新lock文件，并配合composer install --locked严格部署；conflict可主动拦截危险版本，replace慎用以防运行时类找不到。
想让某个包在 composer update 时完全不动，靠命令行参数“屏蔽”是不可靠的——--ignore 只跳过主动拉取，不阻断依赖解析；replace 是语义替代，不是版本冻结；所谓“版本伪装”（如 "dev-main as 2.9.1"）反而会让 composer.lock 状态混乱，实际起效的只有精确版本 + composer.lock + 严格部署流程。
用精确版本号锁定 root 包（最常用、最稳）
这是生产环境唯一可交付的方案。Composer 不会把 "monolog/monolog": "2.9.1" 当作范围约束，只要没写 ^、~、* 或任何符号，它就只认这个版本。
- 改完
composer.json后必须立刻运行composer update monolog/monolog，否则composer.lock里可能还存着旧的浮动解析结果 - 双引号里的
"2.9.1"是安全的，但"2.9"在某些 Composer 版本中会被隐式转为^2.9.0，别赌一致性 - 如果该包只出现在子依赖里（没列在
require中），必须先手动加进require并锁死，否则update仍可能被其他包带高 -
composer install --locked是上线前必须加的校验：它会比对composer.lock是否仍满足composer.json的所有约束，不满足直接失败
用 conflict 主动拦截危险版本（防间接升级）
当你知道某个包的新版本有兼容性问题（比如 guzzlehttp/guzzle >=7.5.0 会破坏你的 HTTP 客户端封装），conflict 能在依赖解析阶段就报错，而不是等安装后才发现崩溃。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
composer.json根级添加："conflict": {"guzzlehttp/guzzle": ">=7.5.0"} - 它不阻止安装
7.4.9，也不影响你当前已装的版本，只禁止匹配范围的版本进入整个依赖图 - 若其他包的
require明确声明了"guzzlehttp/guzzle": "^7.5"，composer update会直接失败并提示冲突，逼你面对问题 - 注意不能写
"some/package": "*"，那会导致无法安装任何版本，失去意义
用 replace 声明逻辑替代（慎用！）
replace 不是“屏蔽更新”，而是告诉 Composer：“这个包的功能我已提供，你不用管它”。它会从依赖图中彻底移除原包及其依赖，风险极高。
- 写法示例：
"replace": {"monolog/monolog": "*"}，放在composer.json根级 - 它不检查你是否真实现了
Monolog\Logger，也不加载任何类——运行时找不到类就直接Class not found - 适用场景极窄：你维护了一个私有 fork（如
your-vendor/monolog-patched），且已在autoload中正确映射类路径 - 一旦误用，CI 构建可能通过，但线上请求一触发日志就崩，这种问题很难在测试中暴露
为什么 --ignore 和 platform 都不是真屏蔽？
--ignore=vendor/package 在 Composer ≥2.2 可用，但它只跳过本次命令对该包的主动更新动作；config.platform 则是“假装已存在”，两者都不干预依赖解析逻辑。
-
composer update --ignore=guzzlehttp/guzzle不会升级guzzlehttp/guzzle，但如果laravel/framework升级到要求"guzzlehttp/guzzle": "^8.0"的版本，Composer 仍会把 Guzzle 拉到 8.x —— 因为--ignore不否定这个依赖关系 -
"config": {"platform": {"guzzlehttp/guzzle": "7.4.0"}}会让 Composer 认为系统已装好这个版本，但它不阻止其他包声明更高要求，也不校验你本地是否真有这个包或能否工作 - 这两个机制都绕不开一个事实：Composer 的决策基于整个依赖图，不是单点开关。真正可控的锚点，永远是
composer.json里你亲手写的精确字符串，以及它在composer.lock中落地的那一行"version": "2.9.1"
