合法唯一正确语法是包名+冒号+版本字符串，如monolog/monolog:2.9.1；支持精确版本、波浪号（~7.5）、插入符（^7.5）、范围（>=6.4.0
composer require 后面的版本号怎么写才合法
唯一正确语法是包名 + 冒号 + 版本字符串，中间不能有空格，也不能用 @ 或 = 替代冒号：composer require monolog/monolog:2.9.1 ✅ 精确安装 tag 2.9.1composer require guzzlehttp/guzzle:~7.5 ✅ 波浪号约束，等价于 >=7.5.0 <br><code>composer require symfony/console:^6.4 ✅ 插入符约束，等价于 >=6.4.0 <br><code>composer require laravel/framework@9.52.7 ❌ 报 Could not find a matching versioncomposer require doctrine/dbal=3.7.0 ❌ 报 Could not parse version constraintcomposer require foo/bar : 1.0 ❌ 冒号前后有空格，同样解析失败
版本字符串本身不带 v 前缀（v1.2.3 多数包不认），也不接受通配符如 1.2.*（虽能解析，但语义模糊，不如 ~1.2.0 明确）。
^ 和 ~ 的实际行为差异远超直觉
它们不是“大概装个相近版本”，而是按语义化版本（SemVer）严格截断升级边界，且主版本为 0 时规则反转：^1.2.3 → >=1.2.3 ：允许次版本和补丁升级（如升到 1.9.0）<br><code>^0.2.3 → >=0.2.3 ：0.x 阶段只允许补丁升级（0.2.4 可，0.3.0 不可）<br><code>~1.2.3 → >=1.2.3 ：连次版本都锁死，只升补丁（1.2.10 可，1.3.0 不可）<br><code>~1.2 → >=1.2.0 ：等价于 <code>~1.2.0，允许任意 1.x 补丁
写成 ~1.2.3 却装不上？先运行 composer show vendor/package --all，确认该包是否真有 1.2.3 这个 tag——很多包跳过某些 patch 版本，或只发了 1.2.2 和 1.3.0，那 ~1.2.3 就永远匹配不到。
装了指定版本，vendor/ 里还是旧代码？
常见于包已存在、Composer 没触发重下载，或流程中断：
执行 composer require 后没看到 Installing dependencies 或 Writing lock file，说明自动 install 阶段失败（网络、权限、git config 缺失都可能）
包已存在且版本满足新约束（比如你写 ^2.8，而当前已是 2.8.5），Composer 默认不重下，只更新 composer.json 和 composer.lock
本地缓存里有旧版 ZIP，Composer 拿缓存解压后没校验版本号是否匹配
该版本根本没发布在 Packagist 上，Composer 回退到最近可用版本（比如你写 1.2.3，但作者只打了 1.2.2 和 1.3.0）
PHP 版本不匹配：某个 tag 的 composer.json 里声明了 "php": ">=7.4"，而你本地是 8.2，某些子依赖却只支持 7.x
想换版本但怕影响其他包，怎么安全操作
全局 composer update 会重算整个依赖图，容易连带升级一堆无关包。局部更新必须显式限定目标，并注意约束边界：
只更新单个包：composer update monolog/monolog——它仍受 composer.json 中该包的约束限制，不会突破 "^1.2" 去装 2.x
多个包一起更新：composer update guzzlehttp/guzzle symfony/console，空格分隔，不支持通配符
先卸载再装精确版更可控：composer remove monolog/monolog && composer require monolog/monolog:1.2.3
如果已有冲突提示，别硬上 --with-all-dependencies，先跑 composer why monolog/monolog 查清谁在拉高版本
加 --no-update 参数可跳过依赖检查，仅写入 composer.json；后续手动 composer update vendor/package 控制范围
