精确安装指定版本包的唯一可靠方式是composer require vendor/package:1.2.3；不加版本则默认装最新stable版，模糊写法如1.2不被接受，必须用1.2.5、1.2.*或^1.2等合法约束。
直接用 composer require 加冒号版本号，是最可靠的方式，其他写法大概率装错或失败。
为什么不能只写包名不加版本
执行 composer require monolog/monolog 会默认安装最新 stable 版，不是你想要的旧版或特定版。Composer 不接受模糊写法（比如 1.2），必须是 1.2.5、1.2.* 或 ^1.2 这类合法约束。
-
^1.2.5等价于>=1.2.5 ，可能升到1.99.9 -
~1.2.0锁定在>=1.2.0 ，适合补丁级控制 - 要真正锁定旧版（如兼容 PHP 7.2 的
monolog/monolog:1.25.5），必须用精确版本号
安装 Symfony 5.4 这类框架 LTS 版本的正确姿势
用 create-project 初始化时，版本号是第三个独立参数，不是加在包名后面带 @ 或 ^：
composer create-project symfony/skeleton my_project "5.4.*"
- 引号必须加，否则 shell 可能提前解析
*或. - 不能写成
symfony/skeleton@5.4.*或symfony/skeleton:^5.4，这些会被忽略或报错 -
"5.4.*"是推荐写法，匹配所有5.4.x小版本，且明确指向最后一个支持 PHP 7.2–7.4 的 LTS
装 beta/RC 版本时容易漏掉的关键参数
直接写 composer require vendor/package:2.5.0-RC1 通常失败，因为 Composer 默认只认 stable。
- 必须显式加
--stability=RC（或beta、alpha） - 命令形如：
composer require monolog/monolog:2.5.0-RC1 --stability=RC - 如果项目里已设
"minimum-stability": "stable"，这个参数就是绕过限制的唯一办法 - 装完立刻检查
composer.lock中该包的version字段是否真为"2.5.0-RC1"，别只看 vendor 目录名
已有项目中降级一个包，别跳过 remove
想把已装的 laravel/framework 从 10.40.0 降到 9.52.16，不能只跑 composer require laravel/framework:9.52.16。
- Composer 可能因依赖冲突静默失败，或保留旧版不动
- 安全做法是先
composer remove laravel/framework，再composer require laravel/framework:9.52.16 - 如果提示被其他包依赖，运行
composer why laravel/framework查谁在拖后腿 - 改完
composer.json后，优先用composer install（按 lock 还原），而不是composer update（它会连带升级别的包）
版本号拼写、引号、空格、稳定性参数——这四个地方错一个，composer require 就可能装出完全不同的东西。实际操作前，先去 Packagist 页面确认你要的版本是否存在、状态是否可用，比反复试错快得多。
