要锁死包的精确版本，需在 composer.json 中使用不带符号的纯数字版本号，如"monolog/monolog": "2.9.1"；^和~会允许小版本升级，alias如"2.9.1 as 2.9.0"不能锁定版本。
Composer 不支持“精确版本”这种说法——你真正要的是 composer.json 中锁定具体版本号，让 composer install 每次都装完全一致的包。
怎么写才能锁死一个包的 exact 版本
Composer 默认用 ^ 或 ~，它们都会允许小版本升级。要彻底固定，必须用不带任何符号的纯数字版本号。
-
"monolog/monolog": "2.9.1"→ 锁死到 2.9.1，composer update不会动它 -
"symfony/console": "6.4.0"→ 即使 6.4.1 发布了，也不会自动升 - 别写成
"2.9.1 as 2.9.0"这类 alias，那只是重命名，不是锁定 - 如果用了
require-dev，也要同样处理，否则 dev 包可能悄悄升级导致测试环境不一致
为什么 composer.lock 不能代替手动写死版本
composer.lock 确实记录了精确版本，但它只在 install 时生效；一旦有人运行 composer update monolog/monolog，哪怕没改 composer.json，也会按当前约束重新解析并更新 lock 文件。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- lock 文件是结果，不是策略；你得靠
composer.json的写法来控制策略 - 团队协作中，有人漏看 commit diff 直接
update，就可能绕过你的意图 - CI 流水线如果用
composer install --no-interaction，它只认 lock，但本地开发没人保证不手抖update
composer update 时不小心升了怎么办
常见现象：明明 composer.json 写的是 "foo/bar": "1.2.3"，但 composer update 后变成 1.2.4 —— 说明你实际执行的是 composer update foo/bar，而 Composer 把这个当成了“重新求解依赖”，无视了你原来写的 exact 版本（这是历史行为，不是 bug）。
- 永远用
composer update --lock来同步 lock 文件，不碰依赖版本 - 想升级某个包？先改
composer.json里的版本号，再跑composer update foo/bar - 临时禁止升级：加
--with-dependencies不解决这个问题，反而更容易连锁升级，别用 - 检查是否被覆盖：运行
composer show foo/bar，对比输出和composer.json是否一致
固定版本对 autoload 和 classmap 的影响
这跟版本号本身无关，但容易被忽略：如果你锁的是一个已废弃的旧版包（比如 guzzlehttp/guzzle: "6.5.8"），它的 autoload 规则可能和新版不兼容，导致 PSR-4 映射失败或 class not found。
- 不要只盯着版本号，用
composer show -s guzzlehttp/guzzle看它的 autoload 配置 - 若项目用了
classmap，旧包可能没生成完整映射，composer dump-autoload --optimize未必能补全 - PHP 8+ 项目锁 PHP 7 兼容版，有时会因反射行为变化引发隐式错误，光看版本号发现不了
真正难的不是写死版本，而是搞清哪些包必须锁、哪些可以松动，以及每次 update 前有没有人偷偷改过 composer.json 的约束逻辑。
