composer update 会悄悄升级中文插件并报错，因其常将破坏性变更发至小版本（如2.1.0→2.2.0）且未严格遵循语义化版本，又缺少"minimum-stability": "stable"约束；^允许小版本升级（风险高），~仅允许补丁级升级（更保守）。
为什么 composer update 会悄悄升级中文插件并报错
中文插件（比如 overtrue/wechat、laravel-china/laravel-sms 或某些未严格遵循语义化版本的国产包）常把功能变更或 BC-breaking 改动直接发到 dev-master 或小版本号（如 2.1.0 → 2.2.0），而它们的 composer.json 又没写清楚 "minimum-stability": "stable" 或 "prefer-stable": true。结果就是 composer update 默认拉最新版，一升级就因方法签名变化、配置结构变动或依赖冲突直接报 Class not found 或 Call to undefined method。
用 ^ 和 ~ 锁死版本号的实际效果差异
^ 允许小版本和补丁升级（如 ^2.1.0 → 2.9.9），对中文插件风险极高；~ 更保守（~2.1.0 ≡ >=2.1.0 ），但仍有隐患——有些中文包跳过 <code>2.2.x 直接发 2.3.0 并含破坏性改动。真正稳妥的是显式锁定：
- 精确版本：
"overtrue/wechat": "4.4.1"（不带任何符号，强制只装这一版） - 范围锁定（推荐）：
"overtrue/wechat": ">=4.4.1 ，既防越界升级，又允许手动更新补丁 - 避免用
dev-master或dev-develop，除非你每天盯 PR 并能立刻修复
防止全局 composer update 波及中文插件的实操技巧
项目里混着几十个包时，composer update 容易误伤。最直接的控制方式是：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 升级其他包时，显式排除中文插件：
composer update --with-dependencies vendor/other-package，不提中文包名就不会动它 - 用
composer prohibit（需composer/composerv2.5+）禁止某包升到指定版本以上：composer prohibit overtrue/wechat:">=4.5.0" - 检查
composer.lock文件是否被提交到 Git —— 如果没提交，团队成员执行composer install时会按各自本地缓存装不同版本，表面“没升级”实则环境不一致
验证中文插件是否真被锁住的三个检查点
光改 composer.json 不够，得确认 Composer 实际行为：
- 运行
composer show overtrue/wechat，看输出的 version 是否和composer.json写的一致，且source显示为dist（不是source的 dev 分支） - 打开
composer.lock，搜索该包名，确认version字段是纯数字（如"version": "4.4.1"），而非"version": "dev-master" - 执行
composer update --dry-run，观察输出里是否出现该包的升级提示 —— 如果有，说明锁没生效，大概率是用了^或漏写了引号
中文插件生态里，“稳定”往往靠手动盯而不是自动保障，锁版本只是第一步，关键还得定期手动测试补丁版兼容性——毕竟 4.4.2 可能修了 bug，也可能悄悄删了个你正在用的 getAccessToken() 方法。
