明确指定版本号可锁定包不被更新。在composer.json中使用如"monolog/monolog": "2.11.0"而非"^2.0"，并提交composer.lock文件，确保安装一致版本，防止升级。
在 Composer 中锁定一个包的版本，防止其被更新，最直接的方式是通过 明确指定版本号 而不是使用版本范围或通配符。以下是几种常用方法和建议：
1. 使用精确版本号
在 composer.json 文件中，将依赖包的版本写成具体的版本号，而不是波浪线（~）或插入符号（^）等修饰符。示例：
不推荐（允许更新）："require": {
"monolog/monolog": "^2.0"
}
推荐（锁定版本）：
"require": {
"monolog/monolog": "2.11.0"
}
这样 Composer 只会安装 2.11.0 版本，运行 composer update 时也不会升级该包。
2. 使用 @package 标签或 --prefer-source / --prefer-dist 不影响版本控制
注意：这些选项不影响版本锁定逻辑，真正起作用的是 版本约束写法。3. 利用 composer.lock 文件
当你执行composer install 时，Composer 会读取 composer.lock 文件并安装其中记录的确切版本。只要你不运行 composer update，即使 composer.json 允许更新，lock 文件也能保证环境一致性。
关键点：
- 提交 composer.lock 到版本控制系统（如 Git），确保团队成员和生产环境安装相同版本。
- 只要不执行
composer update 包名或全局 update，已锁定的版本就不会变。
4. 禁止更新特定包
如果你希望保留版本范围但临时阻止某个包更新，可以使用 composer config 设置禁止更新：composer config platform-check false composer config --no-updates allow-plugins true但更有效的方法是使用 composer禁用特定包更新 功能（通过插件或脚本控制），不过原生 Composer 并没有“黑名单”命令。替代方案是：
- 在 CI/CD 脚本中避免执行 update。
- 使用
composer update --with-all-dependencies --dry-run预览变更。
5. 使用平台配置或约束工具（进阶）
某些项目会使用 composer-lock-sync 或自定义脚本校验 lock 文件是否被意外更改，适合大型团队协作。基本上就这些。核心原则是：用固定版本号 + 提交 lock 文件 = 实现版本锁定。不复杂但容易忽略。
