预防版本冲突需在项目初始化阶段埋定确定性锚点：生产依赖用^约束、禁用*和dev-前缀、关键包锁死小版本、私有组件优先用^而非~。
Composer 项目全生命周期里，预防版本冲突不是靠“更新前祈祷”，而是靠在每个阶段埋下确定性锚点。 它不发生在 composer update 报错那一刻，而是在你第一次写 composer.json、第一次加 require-dev、第一次提交 composer.lock 时就已决定。
初始化阶段：约束写法直接决定冲突概率
刚建项目就随手写 "monolog/monolog": "*" 或 "laravel/framework": "dev-main"，等于给后续所有依赖埋雷。Composer 的 SAT 求解器需要明确边界才能收敛。
- 生产依赖一律用
^（如"^2.9"），它兼容主版本内所有向后兼容更新，又不会跨主版本乱跳 - 避免
*、dev-前缀、branch-alias等非稳定标识，它们让依赖图失去可预测性 - 关键基础设施包（如
symfony/console、phpunit/phpunit）可考虑锁死小版本（如"5.7.26"），尤其当团队 PHP 版本或 CI 环境固定时 - 私有 SDK 或内部组件，优先在它们自己的
composer.json里用^而非~，因为~1.2实际等价于>=1.2 ，太窄易断链
开发阶段：require-dev 是最常被忽视的冲突源
报错显示 laravel/sanctum 装不上？真正拦路的往往是 require-dev 里一个测试辅助包悄悄带进来的旧版 symfony/http-kernel。模块化开发中，每个组件都可能自带一套 require-dev，它们叠加后极易形成隐式强约束。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 执行
composer why-not vendor/package:version前，先跑一遍composer show --tree | grep -A5 -B5 "symfony/"，快速扫清 dev 工具链引入的传递依赖 - 把
phpunit/phpunit、orchestra/testbench这类高耦合测试工具单独拎到根项目的require-dev，不要分散在各子模块中 - CI 流水线里加一步
composer install --no-dev验证生产依赖是否真能独立成立，排除 dev-only 包的干扰 - 看到
conflict字段报错，别急着删——先查composer why package/name，确认是不是某个require-dev包在“假装自己是生产依赖”
协作与发布阶段：lock 文件和平台声明必须同步演进
composer.lock 不是生成完就扔一边的快照，它是整个团队环境一致性的契约。PHP 小版本升级、扩展启用状态变化，都会让同一份 lock 文件在不同机器上解析失败。
- 每次 PHP 版本变更（如从 8.1 升到 8.2），必须重跑
composer update --lock，否则composer install可能因 platform 配置不匹配静默降级依赖 - 在
composer.json的config.platform下显式声明目标运行环境："php": "8.2.10"、"ext-intl": "true"，防止本地装了扩展但线上没装导致运行时报错 - 禁止手动编辑
composer.lock。所有变更必须通过composer update xxx或composer require xxx触发重生成，确保哈希与依赖树严格对应 - 发布前执行
composer diagnose，它会检查 lock 文件完整性、平台匹配度、vendor 目录一致性——这比等上线报Class not found强十倍
长期维护阶段：定期清理比临时救火更省力
依赖不是装上就完事。三个月不碰 composer.json，require-dev 里可能已堆积了三个废弃的 mock 工具，它们各自拉着不同年代的 doctrine/annotations，只等某次 composer update 把整棵树掀翻。
- 每月执行一次
composer outdated --direct，只看直接依赖过期情况，避免被数百个间接依赖淹没 - 对长期未更新的包（如超过 12 个月无新 tag），用
composer prohibits vendor/package查它是否正阻塞其他包升级 - 删除不再使用的
require-dev包后，立刻运行composer update --with-dependencies，把它的传递依赖也一并清理干净 - 把
composer validate加进 pre-commit hook，拦截语法错误或 schema 不合规的composer.json提交
最常被忽略的一点：Composer 解析失败时输出的 “found x packages” 不是建议列表，而是求解器穷尽所有组合后的最终结论。它意味着你当前所有约束——包括那些藏在 require-dev 里的、被 replace 掩盖的、甚至是你自己 fork 后改过 composer.json 却忘了推送到私仓的——已经没有数学交集。此时任何绕过检查的操作，都是把问题从构建阶段推迟到运行时。
