使用确切版本号并提交composer.lock文件可锁定依赖，避免更新。指定如"monolog/monolog": "2.9.1"而非^或~范围，防止自动升级，结合lock文件确保环境一致。
在 composer.json 中锁定某个依赖包，防止其被更新，主要通过明确指定版本号来实现。Composer 默认会根据版本约束自动更新到兼容的最新版本，若要避免这种行为，需采取更严格的版本控制策略。
1. 使用确切版本号锁定
将依赖的版本号写死为具体版本，而不是使用波浪线（~）或插入符（^）等范围符号。
示例：{
"require": {
"monolog/monolog": "2.9.1"
}
}
这样 Composer 只会安装 2.9.1 版本，不会升级到 2.9.2 或更高。
2. 避免使用 ^ 和 ~ 符号
这些符号允许一定范围内的更新：
- ^2.9.1：允许更新到 2.10.0、2.11.0 等，但不跨大版本（即不超过 3.0.0）
- ~2.9.1：允许更新到 2.9.x 的最新版，如 2.9.5，但不会到 2.10.0
如果不想更新，就不要用这些前缀。
3. 使用 @no-upgrade 注释（非官方，部分工具支持）
虽然 Composer 本身不识别注释来阻止升级，但某些第三方工具或团队规范中会使用注释提醒不要升级。
{
"require": {
"symfony/http-foundation": "5.4.0" // @no-upgrade 项目兼容性要求固定版本
}
}
这仅是人为约定，不能强制阻止更新。
4. 锁定后保持 composer.lock 文件
运行 composer install 时，Composer 会优先遵循 composer.lock 文件中的版本。只要该文件存在且提交到版本控制，所有环境都会安装相同版本。
要确保包不被更新，除了固定版本号，还应提交 composer.lock 到 Git 等版本系统。
基本上就这些。关键是用确切版本号 + 提交 lock 文件，就能有效锁定依赖。简单但容易忽略的是用了 ^ 导致“看似固定实则更新”。
