Composer 安装包时默认取最新稳定版，但生产环境需从 require 阶段锁定版本：使用精确版本（如"2.9.1"）或约束字符串（如"^2.9"、"~2.9.0"），Composer 按语义化版本解析并选满足条件的最高兼容版。
Composer 安装包时默认取最新稳定版，但多数生产场景需要锁定具体版本——不是靠 composer update 事后降级，而是从 require 阶段就明确约束。
直接在 require 中写死版本号
最常用也最可靠的方式：在 composer.json 的 require 字段里用精确版本（如 "monolog/monolog": "2.9.1"）或带约束的字符串（如 "^2.9"、"~2.9.0"）。Composer 会按语义化版本规则解析并选满足条件的最高可用版。
-
"^2.9"允许安装2.9.0到2.x.x最高兼容版（等价于>=2.9.0 ） -
"~2.9.0"等价于>=2.9.0 ，比 <code>^更保守 - 写
"2.9.*"是旧写法，已不推荐；"2.9"会被自动补成"2.9.*"，行为不稳定 - 如果包没发布对应 tag，Composer 可能回退到
dev-main或报错，此时需确认该版本真实存在
用 --version 参数临时指定版本安装
运行 composer require 时加 --version 可跳过 composer.json 编辑，适合快速验证或 CI 临时覆盖：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer require guzzlehttp/guzzle --version=7.8.1
注意：--version 不会修改 composer.json 中的约束表达式，而是直接写入精确版本号（如 "7.8.1"），后续 composer update 仍受其限制。
- 不能和
--dev混用时省略包名（即composer require --dev --version=1.2 foo/bar必须写全） - 若指定版本不存在，错误信息是
Could not find package ... in a version matching ...，不是网络问题 - 该参数对已安装包无效，重装需先
composer remove
避免 dev-main 被意外安装
当指定版本不存在、或包未打正式 tag 时，Composer 可能退而求其次安装 dev-main（即主分支最新提交），这在生产环境极其危险。
- 检查包的可用版本：运行
composer show -a vendor/package查看所有 tagged 版本和分支别名 - 禁用非稳定包：在
composer.json中设"minimum-stability": "stable"，并确保没配"prefer-stable": true以外的宽松策略 - 如果必须用开发版，显式写
"dev-main as 9.99.99"并配合"minimum-stability": "dev"，但上线前务必替换 -
composer install时若composer.lock里记录的是dev-main，即使composer.json写了^2.9也不会自动纠正——lock 文件优先级更高
版本控制真正生效的前提是：每次 composer install 都基于一致的 composer.lock，而 lock 文件的源头必须是人为审慎写入的 composer.json 约束。靠 update 补救不如一开始写对。
