Composer版本约束需据角色选择：被依赖方宜用~限制修订版，依赖方可用^允许次版升级；^1.2.3等价于>=1.2.3 <2.0.0，~1.2.3等价于>=1.2.3 <1.3.0。
Composer 的版本约束不是越严格越安全，也不是越宽松越好维护——关键看你的包是「被依赖方」还是「依赖方」，以及你是否控制着下游升级节奏。
什么时候该用 ^（caret）而不是 ~（tilde）
^ 允许次版本和修订版本升级，~ 只允许修订版本升级。比如 ^1.2.3 等价于 >=1.2.3 ，而 <code>~1.2.3 等价于 >=1.2.3 。
- 用
^：你信任上游遵循语义化版本（SemVer），且下游能承受次版本变更带来的兼容性风险（如 Laravel、Symfony 生态的大部分包） - 用
~：你集成的是非 SemVer 项目（比如某些 WordPress 插件、私有工具库），或下游环境极其保守（如金融类遗留系统），连1.2.4 → 1.3.0都可能触发未测行为 - 注意：
^0.x是特例——^0.2.3实际只允许，即等同于 <code>~0.2.3，因为 0.x 不承诺 API 稳定性
锁文件 composer.lock 被忽略时的典型表现
运行 composer install 却装出和团队不一致的依赖版本，八成是 composer.lock 没提交、被 .gitignore 错误过滤，或 CI 环境误用了 composer update。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 检查点：执行
git status看composer.lock是否在暂存区；CI 脚本里是否写了composer install --no-interaction（正确）而非composer update（危险） - CI 中禁用 lock 文件会导致每次构建拉取最新匹配版本，哪怕只是
monolog/monolog从2.8.0升到2.8.1，也可能因日志格式微调引发告警误报 - 私有包若没打 Git tag，Composer 会 fallback 到
dev-main这类分支别名，此时composer.lock会记录具体 commit hash——删掉 lock 文件再 install，就可能切到另一个 commit
私有仓库中如何避免 dev- 分支约束失控
直接写 "my/private-package": "dev-main" 看似方便，实则等于放弃版本控制：main 分支随时变，composer update 就会拉最新代码，lock 文件也锁不住。
- 正确做法：给私有包打语义化 tag（如
v1.0.0），然后在 require 中写"my/private-package": "^1.0"，再通过composer config repositories.my-private vcs https://git.example.com/my/private-package声明仓库 - 如果必须用分支（比如预发布验证），至少限定 commit：
"my/private-package": "dev-main#abc1234"，这样 lock 文件能固定 SHA - 别依赖
dev-main as 1.0.0这种 alias——它只影响 autoload 和版本解析，不阻止 Composer 拉新 commit
最常被忽略的一点：当你把一个包从 require 移到 require-dev，它的子依赖不会自动从主依赖树中剔除——composer show 看不到，但 vendor/ 里可能还躺着旧版本，甚至被自动加载。清理要手动 composer update --with-dependencies 或删 vendor 重装。
