镜像源不参与语义化版本过滤，仅作为packagist只读代理加速元数据下载；版本解析由本地composer根据composer.json约束、composer.lock快照和config.platform环境共同完成，镜像只影响元数据获取效率，不改变求解逻辑。
镜像源根本不参与语义化版本过滤
镜像源（如 https://mirrors.aliyun.com/composer/）只是 Packagist 的只读代理，它不解析 composer.json、不执行 SAT 依赖求解、也不对版本约束做任何语义化判断。所谓“过滤”，是本地 Composer 根据你写的 ^、~ 或纯字符串版本，在下载完元数据后自行计算出合法版本集合——镜像只负责更快地把 packages.json 和 provider-*.json 文件传给你。
常见误解：换镜像后 composer update 能装上某个包了，就以为是镜像“放行”了。实际更可能是旧镜像缓存了过期的 provider 列表，没同步到作者新发布的 conflict 规则；新镜像拉到了最新元数据，反而让冲突提前暴露。
- 镜像 URL 必须以
/结尾，否则请求packages.json会 404，导致 Composer 退回到官方源或静默失败 - 项目级配置比全局配置更可靠：必须在
composer.json的repositories数组首位写{"packagist.org": false}，再跟镜像源对象 - 运行
composer clear-cache后再切镜像，否则本地缓存的旧 provider 可能干扰版本匹配结果
真正决定装哪个版本的三个要素
最终安装的包版本由以下三者共同锁定，缺一不可：
-
composer.json中的约束字符串：比如"monolog/monolog": "2.9.1"（精确）或"^2.9"（范围） -
composer.lock中记录的快照：含"version": "2.9.1"、"source": {"reference": "abc123..."}和完整哈希值 -
config.platform声明的运行环境能力：如"php": "8.1.0"，会影响 Composer 是否跳过某些仅支持 PHP 8.2+ 的候选版本
镜像源只影响第二步中 composer.lock 的生成效率——它加速元数据下载，但不改变求解逻辑。如果你的 composer.json 写了 "guzzlehttp/guzzle": "^7.5.0"，哪怕换十次镜像，装上的也永远是满足 >=7.5.0 的最高可用 patch 版本，比如 <code>7.8.1。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么改了 composer.json 还是装不出想要的版本
根本原因：你运行的是 composer install，而它完全忽略 composer.json 的新约束，只忠实还原 composer.lock 记录的版本。即使你把 "monolog/monolog": "^2.8" 改成 "2.9.1"，只要 composer.lock 里仍是 "2.8.0"，install 就永远装 2.8.0。
- 必须运行
composer update monolog/monolog（指定包）或composer update（全量），才能把新约束写入lock文件 - CI/CD 和 Docker 构建中，严禁出现
composer update；部署阶段只允许composer install --no-dev --optimize-autoloader - 执行
composer install --dry-run，如果输出含Installing dependencies from lock file才表示 lock 有效；若出现Resolving dependencies，说明 lock 已失效，需人工干预
中文环境下特别容易踩的坑
国内开发者常因镜像配置错误或缓存污染，误判语义化版本行为。最典型的三个盲区：
- 配镜像漏
-g参数、键名写成repos.packagist（多一个s）、URL 少末尾/—— 这三处任一出错，Composer 都静默回退到官方源，且不报错 - 分支写法如
"dev-main"不是锁定，每次update都可能拉新提交；真要固定，得用"dev-main#abc1234"，且斜杠需 URL 编码（feature/login-flow→feature%2Flogin-flow） - 验证是否真锁死，不能只信
composer show输出：要交叉核对composer.json字符串、composer.lock的version字段、以及vendor/下包内composer.json或VERSION文件的实际内容
版本号里的 v 前缀、空格、@ 或 = 符号，都会让 Composer 解析为分支或别名，而不是版本——这些细节在中文文档里常被模糊带过，但恰恰是 CI 失败的高频原因。
