应显式声明关键间接依赖为根依赖并配合CI校验：在composer.json中写死"psr/http-message": "1.1.0"，加platform约束，并在CI中用composer show命令校验版本是否符合预期。

间接依赖被意外更新，不是 Composer 失控，而是你没把它当“自己人”管——它不会主动提醒你 psr/http-message 从 v1.1 升到 v2.0，直到 Fatal error: Interface 'Psr\Http\Message\MessageInterface' not found 在线上炸开。

怎么一眼看出谁偷偷升级了间接依赖

别等报错，用 composer depends 和 composer show 组合查链路：

• composer depends psr/http-message —— 看是哪个包（比如 guzzlehttp/guzzle）把它带进来的
• composer show psr/http-message —— 注意输出里的 versions 列表和 type 字段；如果是 metapackage，说明它可能只是个转发器，实际行为由子包决定
• 打开 composer.lock 搜 "psr/http-message"，确认当前锁定的 version 和 source.reference（commit hash）是否和你预期一致

为什么锁死了主依赖，间接依赖还是变了

因为 Composer 的版本解析是全局收束的：只要有一个包要求 psr/http-message:^2.0，哪怕你只写了 "guzzlehttp/guzzle": "7.2.0"，整个项目也会被拉到 v2.x。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 运行 composer depends -t psr/http-message 查完整依赖链，特别留意 require-dev 里的包（如 phpunit/phpunit）是否悄悄引入了高版本
• composer show --tree 能看到当前实际安装的树形结构，比 composer.json 更真实
• 如果发现某个 dev-only 包在拉高版本，又不想改它，可以用 alias 锁定："phpunit/phpunit": "9.6.13 as 9.6.0"

怎么真正阻止间接依赖乱动

不能靠“不运行 composer update”，得靠显式声明 + CI 验证：

• 在 composer.json 的 require 里直接写死关键间接依赖："psr/http-message": "1.1.0"（不带 ^ 或 ~），它就从“传递依赖”变成“根依赖”，composer update 就不敢碰它
• 加 config.platform 防低版本 PHP 下误装高版本间接包："platform": { "php": "8.2" }
• CI 中加校验命令：composer show psr/http-message | grep -q '1\.1\.'，失败就中断构建——这比等 runtime 报错靠谱得多

最危险的不是版本升了，而是你根本不知道它升了；composer.lock 里那个 hash 变了，但没人看，也没人 diff。