空版本约束（如""或null）会直接报错，不被当作""；composer require不填版本时自动注入"^3.0"等语义化约束，而非空值；""本身在composer中非法。
空版本约束会被当成"*"但直接报错
Composer 不接受空字符串作为版本约束。你在 composer.json 里写 "monolog/monolog": "" 或 "monolog/monolog": null，运行 composer install 或 composer update 时会立即失败，错误信息类似：Invalid version string "" 或 Invalid version constraint "null"。
它不会“默认补成 *”或静默忽略——这是明确的语法错误，解析器在读取 JSON 后校验阶段就终止了。
- 空字符串
""→ 报Invalid version string "" -
null值（JSON 中合法）→ 报Invalid version constraint "null" - 缺失该 key（整个依赖项没写）→ 完全不处理，等同于未声明依赖
composer require 不填版本时的隐式行为
当你执行 composer require monolog/monolog（不带版本号），Composer 会自动补一个隐式约束："^3.0"（以当前最新稳定主版本为准，2026 年多数主流包已升至 3.x）。这不是空约束，而是命令行工具主动注入的默认值。
这个行为只发生在 composer require 命令中，且仅限于交互式添加依赖；它不会影响已存在的 composer.json 条目，也不会修改你手动写的空字段。
- 等效于运行
composer require monolog/monolog:^3.0 - 若包尚未发布 3.x 版本（如某小众包最新仅是 2.9.1），则 fallback 到
^2.0 - 该默认值不参与 lock 文件生成逻辑——它只是 update 前的一次性推导
为什么不能用*代替空约束？
* 在 Composer 的版本约束语法中是非法的。写 "monolog/monolog": "*" 会触发 Invalid version string "*" 错误，和空字符串一样被拒绝。
想表达“任意版本”，必须显式写出语义化范围：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
"^1"表示 >=1.0.0 且 -
">=1.0.0"表示无上限，风险极高，不建议 -
"dev-main"是分支别名，不是版本约束，^和~对其无效
别试图绕过校验——Composer 的解析器对版本字符串做的是严格正则匹配+SemVer 结构验证，* 连第一步都过不了。
CI/CD 中漏掉版本号导致构建失败的真实场景
团队协作中常见一种隐蔽错误：某人用编辑器手写 composer.json，删掉某个依赖的版本字段只留 key，比如：
"require": {
"laravel/framework": ""
}
Git 提交后 CI 流水线拉下代码跑 composer install，直接失败。错误日志里只会显示 Invalid version string ""，不提示哪一行——因为 Composer 解析时已把整个 JSON 当作结构化数据加载，报错位置不带行号。
排查要点：
- 用
composer validate在本地提前检查，它会定位到具体字段 - CI 脚本中加入
composer validate --no-check-all作为前置步骤 - 禁止手动编辑
composer.json的版本字段，一律走composer require或composer update
空约束不是“宽松”，而是“语法废料”。它暴露的是流程断点：没人校验 JSON 结构，也没人跑 validate，直到 CI 报错才回头翻日志——而这时锁文件可能已经损坏，子依赖版本早已失控。
