Composer无全局黑名单，最可靠方式是写死版本号并提交composer.lock；--ignore仅临时跳过单次更新，replace/conflict可干预依赖图，但需谨慎使用。
Composer 没有“全局黑名单”或“一键排除包”的机制，所有所谓“忽略”都是通过约束、干预或欺骗依赖解析来实现的近似效果；最可靠的方式永远是写死版本号 + 提交 composer.lock，而不是依赖命令行参数。
用 --ignore 跳过单次 update（仅 Composer ≥2.2）
这个参数最直观，但容易高估它的作用：
-
composer update --ignore=monolog/monolog：本次不主动升级该包，也不处理其直接子依赖（注意：不是冻结，更不阻止间接升级） - 多个包要重复写多次
--ignore，不能写成--ignore=monolog/monolog,laravel/framework - 如果
symfony/console强依赖monolog/monolog ^3.0，而你没锁死symfony/console版本，monolog仍会被连带升级 - 低版本 Composer 会报错
Unrecognized option "--ignore"，别硬试
永久冻结包版本：改 composer.json + 提交 composer.lock
这是生产环境唯一靠谱的做法，比任何运行时参数都稳：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 把
"monolog/monolog": "^2.9"改成"monolog/monolog": "2.9.1"（去掉^或~） - 运行
composer update monolog/monolog（只更新这一个包，确保composer.lock记录精确版本） - 立刻执行
git add composer.lock && git commit -m "lock monolog to 2.9.1" - 如果该包是子依赖（没出现在 root 的
require里），只改composer.json没用，得用replace或conflict - 别手动编辑
composer.lock文件——哈希校验会失败，composer install直接中止
用 replace 或 conflict 干预依赖图
适用于你有定制分支、或必须阻止某包进入依赖树的场景：
-
"replace": {"monolog/monolog": "*"}：声明你已提供同名包，Composer 不再安装也不检查依赖；但你要确保运行时真有对应类，否则报Class not found -
"conflict": {"monolog/monolog": ">=3.0.0"}：一旦依赖解析出 3.x 版本，composer update直接失败退出，强制你处理兼容性 -
replace和provide都不解决 autoloading，若其他包 require 它而你本地没装，照样崩 - 慎用
"monolog/monolog": "dev-main as 2.9.1"这类 alias，容易导致composer.lock记录混乱，CI 构建失败
别混淆 --ignore-platform-reqs 的用途
它和“忽略特定包”完全无关，只跳过 PHP 版本、扩展等平台检查：
- 你本地是 PHP 7.4，但某包要求
"php": "^8.0"→ 加--ignore-platform-reqs后可继续安装（但运行时可能出错） - 你没装
ext-redis，但包声明"ext-redis": "*"→ 该参数会让 Composer 忽略此扩展检查 - 它不会绕过包之间的语义化版本约束（如
"symfony/console": "^5.4"）、require关系或conflict规则 - 想模拟环境更安全？用
"config": { "platform": { "php": "8.1.0" } }，比全局忽略可控得多
真正难的不是选哪种方式，而是判断“忽略”背后的真实意图：是临时调试、规避 CI 环境限制，还是长期维护兼容性？不同目标对应不同手段，混用反而埋雷。比如用 --ignore 测试完不补锁版本，下次 update 就可能静默升掉；又比如在 replace 里写死版本却忘了提供 autoloader，上线就报错。
