唯一能精确锁定版本的写法是composer require monolog/monolog:1.2.3或composer require monolog/monolog=1.2.3，二者均写入"monolog/monolog": "1.2.3"到composer.json并强制还原；其他如^1.2.3、~1.2等均不锁死。
想装 monolog/monolog:1.2.3 却最终得到 1.2.4 或 2.0.0？不是命令写错了，是版本号写法本身没锁死——Composer 的版本约束不是“看起来像精确”就精确，而是由符号语义严格决定的。
composer require 里哪些写法真能锁死版本
只有两种写法会被 Composer 当作「精确版本」写入 composer.json 并在后续 install 中强制还原：
-
composer require monolog/monolog:1.2.3→ 写入"monolog/monolog": "1.2.3" -
composer require monolog/monolog=1.2.3→ 等价，=是语法糖
以下写法全部不锁死，哪怕只差一个符号：
-
monolog/monolog:^1.2.3→ 允许升到1.9.9（只要主版本是1） -
monolog/monolog:~1.2→ 等价于^1.2.0，允许1.2.x但不跨小版本 -
monolog/monolog:1.2.*→ 模糊通配，实际解析为^1.2 -
monolog/monolog:1.2→ 同样被当作^1.2，不是1.2.0
关键点：无符号 ≠ 精确；: 后面必须是纯数字（不含 ^、~、*、> 等任何修饰符），才真正锁定。
立即学习“PHP免费学习笔记（深入）”；
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
为什么写了 1.2.3 却装了别的版本
常见原因不是命令失效，而是环境或元数据干扰：
-
composer.lock里已存有更宽泛约束（如"monolog/monolog": "^1.2"），require默认复用 lock 文件逻辑，不会强制重算 - 本地缓存中存在旧版 ZIP 包，Composer 直接解压后未校验是否匹配你写的
1.2.3 - 该 tag 根本没发布在 Packagist 上（比如作者只打了
1.2.2和1.3.0），Composer 自动 fallback 到最近可用版本 - PHP 版本不兼容：
monolog/monolog:1.2.3的composer.json声明了"php": ">=7.4"，而你本地是8.2，但它的某个子依赖只支持7.x，求解器被迫跳过该版本
验证方式：运行 composer show monolog/monolog，看输出列表里是否真有 1.2.3 这个 tag。
安全换版本：别直接 update 全局依赖
全局 composer update 会重算整个依赖图，极易连带升级一堆无关包。局部更新必须显式限定且注意边界：
- 只更新单个包：
composer update monolog/monolog—— 它仍受composer.json中该包当前约束限制，不会突破"^1.2"去装2.x - 多个包一起更新：
composer update guzzlehttp/guzzle symfony/console，空格分隔，不支持通配符 - 最可控路径：
composer remove monolog/monolog && composer require monolog/monolog:1.2.3，彻底清旧再装新 - 加
--no-update更稳妥：composer require monolog/monolog:1.2.3 --no-update，先写进composer.json，再手动composer update monolog/monolog控制范围
dev-分支名不是锁定，#commit-hash 才是
写 "vendor/package": "dev-main" 只是让 Composer 每次都拉 main 分支最新提交，不是固定版本。真正锁定需：
- 用
dev-main#abc1234格式，其中abc1234是具体 commit hash - 分支名含斜杠（如
feature/login）必须 URL 编码为feature%2Flogin，否则解析失败 - 这种写法会让 Composer 把它当 dist 处理，跳过 git clone，直接下 zip，性能更好也更稳定
- 长期维护建议走
repositories+ tag 路线：在 fork 里打v1.2.3tag，repositories中声明 vcs 源，require里仍写"vendor/package": "1.2.3"
最容易被忽略的是间接依赖——composer show 输出里所有带 dev- 的包，都要检查是否加了 #hash，否则 CI 构建可能因分支变动而失败。
