"2.*"报错因composer仅支持semver规范，不识别shell通配符；"^2"正确，等价于">=2.0.0 =2.3.0
Composer.json 里写版本号，不是“想怎么通配就怎么通配”，而是必须用 ^、~、= 这类语义化约束操作符——* 在版本字段里基本是废的，写 "monolog/monolog": "2.*" 直接报 Invalid version string "2.*"。
为什么 "2.*" 会报错？
Composer 解析器不认 shell 风格的 *，它只按 SemVer 规范解析版本字符串。2.* 不是合法 SemVer 范围表达式，连语法校验都过不了。哪怕你本地 IDE 没标红，运行 composer install 或 composer update 时一定会失败。
-
"2.*"→ 报错，非法字符串 -
"^2"→ 正确，等价于">=2.0.0 -
"~2.3"→ 合法但容易误解：实际等价于">=2.3.0 ，不是 <code>"2.3.*" -
"2.3.*"→ 某些旧版 Composer 可能容忍，但新版（如 2.9.6）已严格拒绝
该用 ^ 还是 ~？看你的兼容性预期
^ 和 ~ 控制的是不同维度的升级边界，选错可能让 CI 突然挂掉。
-
^2.3.1→ 允许升到2.4.0、2.10.0，只要不进3.0.0；适合工具类库（如symfony/console），它们通常守 SemVer -
~2.3.1→ 只允许2.3.x补丁更新，绝不会跨2.4.0；适合框架核心（如laravel/framework），次版本变更可能影响行为 -
^0.3.0→ 主版本为 0，Composer 自动降级为~行为，即只允许0.3.x，不会升到0.4.0
镜像拉取和版本约束是两回事
换阿里云或腾讯云镜像，只是加速下载，**完全不影响版本解析逻辑**。你写错 "2.*"，哪怕镜像再快，照样报错。
- 镜像只改
packagist.org请求路径，不参与版本匹配 -
dev-main是分支引用，不是版本约束；每次composer update都可能拉不同 commit，构建不可重现 - 私有 Git 包要用真实 tag（如
"v1.2.0"），不能靠"1.*"去“猜”最新 stable 版
真正容易被忽略的是：composer.lock 文件一旦存在，composer install 就完全无视 composer.json 里的新约束；改完版本号后，必须运行 composer update vendor/package-name 才生效，而不是只改 JSON 就完事。
