composer update 装了不该装的版本，是因为它按 composer.json 约束重算整个依赖图，选取满足所有约束的最新兼容组合，而非保留当前已装版本；常见原因包括多包对同一依赖约束不一致、PHP 或扩展版本不匹配、require-dev 引入高版本干扰等。
composer update 为什么装了不该装的版本
因为 composer update 按照 composer.json 中的约束重新计算整个依赖图，而不是只看当前已装版本。它会找满足所有约束的「最新兼容组合」，哪怕某个包在 composer.lock 里是 2.7.4，只要 ^2.7.0 还允许 2.10.0，它就可能升上去。
常见诱因包括：
- 多个包共同依赖同一个底层库（如
symfony/polyfill-php81），但各自写的约束不同（^1.20vs~1.25.0），Composer 只能选一个最高交集版本 - 某包的
require段写了"php": "^8.2"，而你本地是 PHP 8.1 —— Composer 不会直接报错哪条依赖卡住，而是最终提示Your requirements could not be resolved... - 开发依赖（
require-dev）里用了^，比如"phpunit/phpunit": "^10.0"，结果 CI 装了 10.5，而你的测试用到了 10.4 才引入的assertIsList()，本地却没报——行为不一致就此埋下
验证方法：运行 composer why-not php:8.2（需 Composer 2.2+）或 composer prohibits vendor/package:2.10.0 快速定位谁在拖后腿。
~ 和 ^ 在 0.x 包里为什么行为一样
~0.5.1 和 ^0.5.1 都等价于 >=0.5.1 ，不是 Composer 写错了，而是 SemVer 明确规定：主版本为 0 时，任何次版本变更都视为不兼容。所以 <code>^ 在这里自动降级为 ~ 级别的保守策略。
这意味着：
- 你写
"some/internal-tool": "^0.8.0"，它永远不会装到0.9.0，哪怕对方只加了一个新 helper 方法 - 想支持
0.9.x和0.10.x？必须显式写成"~0.9.0 || ~0.10.0"，^帮不上忙 - 很多内部组件长期卡在 0.x，别被数字迷惑——它本质是「不稳定快照」，不是「还没发正式版」
查真实发布情况：用 composer show -a some/internal-tool，确认远程 Git 仓库是否真打了 v0.9.0 这个 tag；没打，再宽的约束也匹配不到。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer install 为什么没按 composer.json 装新版本
因为 composer.lock 的优先级永远高于 composer.json。哪怕你把 "monolog/monolog": "^2.0" 改成 "^3.0"，只要 lock 文件里还记着 2.10.0，composer install 就只会装那个。
安全更新方式只有两种：
- 运行
composer update monolog/monolog—— 只更新该包及其子依赖，其他包版本不动 - 先跑
composer update --dry-run，确认升级范围是否可控，再执行真实update
删 composer.lock 后直接 install 是高风险操作：不同人、不同时间、不同机器装出的依赖树可能完全不同，尤其在团队协作中极易引发「在我机器上好好的」问题。
自定义版本号为什么总报 Invalid version string
Composer 严格校验 SemVer 2.0 格式，1.2.3-custom.1 是非法的——预发布标识符中点号后接数字再跟点号，违反规范。合法格式只能是 1.2.3-alpha.1、1.2.3-hotfix、1.2.3-dev 这类字母开头、点分隔纯字母数字的组合。
真正想打定制包，正确路径是：
- 用
"type": "package"+"dist"手动覆盖：指定 URL 和任意命名的version字符串（如"2.9.2-patched"），Composer 会跳过语义校验，直取 dist - 若要让
^2.9自动匹配 fork 的dev-main分支，必须在 fork 仓库的composer.json中设"branch-alias": {"dev-main": "2.9.x-dev"}，且项目repositories里注册为 vcs 类型
注意：version 字段可以任意起名，但 dist.url 必须可访问，且压缩包结构得和原包一致，否则 autoload 会失效。
