只有 composer require vendor/package:version 冒号语法能精确安装指定稳定版，因该格式直接写入 composer.json 的 require 字段且无版本修饰符，确保严格锁定；其他写法均解析失败或不精确。
必须用 composer require vendor/package:1.2.3，其他写法全都不行——包括 @、=、带空格、漏冒号，都会失败或装错。
为什么只有冒号语法能装到特定稳定版
Composer 的 require 命令只认 vendor/name:version 这一种格式作为精确版本指令。它会直接把该版本写进 composer.json 的 require 字段，不加任何修饰符（比如不加 ^ 或 ~），从而确保后续 composer install 严格锁定这个 tag。
-
monolog/monolog@2.9.1→ 报Could not find a matching version -
monolog/monolog=2.9.1→ 同样报错，解析失败 -
composer require monolog/monolog 2.9.1（空格分隔）→Could not parse version constraint -
composer require monolog/monolog:^2.9.1→ 实际装的是^2.9.1兼容范围，不是精确版
真正生效的只有一条：composer require monolog/monolog:2.9.1。执行后检查 composer.json，对应行应为 "monolog/monolog": "2.9.1"（无引号包裹版本号，无前缀，无符号）。
装不上“稳定版”？先查 Packagist，别硬试
报 No matching package found 时，90% 是因为你要的版本根本不存在、被标记为 abandoned，或当前项目 minimum-stability 太高（比如设了 "stable"，但目标版本只是 RC 或 beta）。
- 打开 Packagist，搜
vendor/package，点进去看versions标签页，确认1.2.3是否存在、状态是否为stable - 如果只有
1.2.3-RC1，且你确实需要它，临时降级稳定性：运行composer require vendor/package:1.2.3-RC1 --stability=RC - 如果页面显示
This package is abandoned，别强装——它可能已无维护，依赖链断裂风险高 - 包名大小写敏感：
monolog/monolog:2.9.1可行，Monolog/Monolog:2.9.1必然失败
开发依赖和运行时依赖，指定版本写法一样但行为不同
require 和 require-dev 里用冒号指定版本的语法完全一致，区别只在安装时机和作用域：
- 想装 PHPUnit 9.5.26 仅用于测试？用
composer require --dev phpunit/phpunit:9.5.26 - 运行
composer install --no-dev时，require-dev里的所有包（哪怕写了精确版本）都不会被安装 - 如果
require要symfony/console:6.4.0，而require-dev要symfony/console:7.0.0，Composer 会直接报冲突，必须手动协调 - 版本含破折号（如
"laravel/framework":"9.0.0-RC1"）务必加英文双引号，否则 shell 可能截断
最容易被忽略的一点：Composer 不会自动帮你降级已装包。想从 3.6.0 换回 3.5.1，得先 composer remove vendor/package，再 composer require vendor/package:3.5.1 —— 跳过 remove 很可能触发依赖冲突或静默忽略。
