只有"vendor/package": "1.2.3"这种不含任何符号的纯数字字符串才算真正锁死版本；"^1.2.3"、"~1.2"等均为范围约束会自动升级，改composer.json后必须运行composer update同步lock，否则install仍装旧版。
composer.json里怎么写才算真正锁死版本
只有"vendor/package": "1.2.3"这种不含任何符号的纯数字字符串才算精确锁定。写成"^1.2.3"、"~1.2"、"1.2.*"甚至"1.2"都不行——这些全是范围约束，Composer 会按语义化规则自动升级。
常见错误：composer require guzzlehttp/guzzle:^7.5.0看似指定了 7.5.0，实际允许装到 7.9.9；要锁死，必须用composer require guzzlehttp/guzzle:7.5.0（冒号后不能有空格、不能加v前缀、不能用@或=）。
- require-dev 里的包（如
phpunit/phpunit）同样要写死，否则composer update仍会升级它 - 分支写法如
"dev-main"不是锁定，每次composer update都可能拉新提交；真要固定，得用"dev-main#abc1234" - 分支名含斜杠（如
feature/login-flow）需 URL 编码为feature%2Flogin-flow，否则解析失败
改了composer.json为什么还是装错版本
根本原因：你运行的是composer install，而它只认composer.lock里的记录，不看composer.json的新约束。改完composer.json后没更新lock文件，install就永远装旧版。
典型现象："monolog/monolog": "2.9.1"写进composer.json，但composer.lock里仍是"2.8.0"，执行composer install后vendor里还是 2.8.0。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须运行
composer update monolog/monolog（或composer update全量）才能把新版本写入lock文件 - 中文镜像不影响锁定逻辑，但若镜像源缓存了旧元数据，可能延迟同步 tag；建议搭配
composer clear-cache确保读取最新信息 - CI/CD 中若先
composer install再composer update，会导致锁文件被覆盖——顺序错了
中文镜像下如何验证版本是否真锁死
别只信composer show输出，要交叉核对三处：
- 运行
composer show monolog/monolog，确认versions行严格等于你写的字符串（注意有无v前缀、+git后缀） - 检查
composer.lock中对应包的"version": "2.9.1"字段是否存在，且"source": {"reference": "..."}是确定 commit hash，不是dev-main之类动态引用 - 打开
vendor/monolog/monolog/VERSION或composer.json文件，确认实际代码版本与声明一致（某些包会篡改自身composer.json，导致composer show显示失真）
中文环境下尤其要注意：有人提 PR 改了 main 分支，你本地composer install仍可能装出不同结果——只要composer.lock没提交、被.gitignore过滤、或 PHP 版本不一致（比如你用 8.2，同事用 7.4），composer install就会退化为重新跑 SAT 求解器。
CI/CD 和团队协作中容易忽略的坑
中文团队协作中出现“依赖不一致”，90% 不是 Git 合并出错，而是流程断了：
- CI 脚本偷偷用了
composer update（无参数），等于全量刷新，lock文件里锁的版本直接被忽略 - 本地执行
composer require some/pkg时，如果它依赖更高版的monolog，Composer 会强制升级并重写lock，哪怕你之前锁死了 - GitHub Actions 中未显式禁用缓存，可能读到上个分支缓存的过期
composer.lock - 在
composer.json顶层加"config": {"lock": true}，这样只要composer.json和composer.lock不匹配，composer install立刻报错
镜像源本身不参与版本锁定逻辑，但它会影响元数据获取速度和准确性；一旦你写了死版本，Composer 就只去查那个 tag 是否存在——不存在就报错，不会 fallback 到其他版本或分支。
