版本规划需使约束、发布节奏、团队协作三者咬合，约束须匹配实际发布节奏，如季度小版本应配~1.2.3而非^1.0；tag须轻量且推送，Packagist同步需开启自动更新；dev-main与语义化版本可并存；SAT求解器统一解析所有约束，顺序无效；composer.lock是依赖一致性契约，不可缺失。
版本规划不是写对^或~就完事，而是要让约束、发布节奏、团队协作三者咬合——写宽了线上翻车，写死了下游不敢升，不配套 tag 和 lock 就等于没规划。
怎么定 composer.json 里的版本约束才不脱节
约束必须和你实际能控制的发布节奏一致。比如你承诺每季度发一个带新功能的小版本（1.2 → 1.3），但composer.json里写的是"my/package": "^1.0"，用户装完直接跳到 1.9，你的“季度节奏”就失效了。
- 被依赖方（你发布包）：用
~1.2.3更稳妥，它只允许修订版升级（1.2.4、1.2.5），避免次版本带来的行为变化 - 依赖方（你用别人包）：用
^1.2.3更常见，前提是信任上游守 SemVer；但若对方是私有工具库或 WordPress 插件，~更安全 -
^0.x是特例——^0.2.3等价于~0.2.3，因为 0.x 不承诺 API 稳定，别指望它兼容 - 绝对禁止写
"monolog/monolog": "^2.*"，*不是合法语法，会直接报Your requirements could not be resolved
打了 tag 却 require 不到？检查这四件事
现象很典型：git tag能看到v1.2.3，但composer require vendor/package:1.2.3报错说找不到包。这不是 Composer 的锅，是 Packagist 同步链断了。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Tag 必须是轻量 tag：
git tag v1.2.3，不是git tag -a v1.2.3；带注释的 tag 若 message 为空，旧版 Packagist 可能解析失败 - Tag 必须推送到远程：
git push origin v1.2.3，只本地打没用 - Packagist 仓库设置里，“Automatically update the package on new commits?”必须勾选
-
composer.json里的"version"字段值必须和 tag 名完全一致；如果 tag 是v1.2.3，但composer.json里写了"version": "1.2.4"，Packagist 会拒绝同步
dev-main 和 v1.2.3 能不能共存？当然能，而且应该共存
它们不是互斥选项，而是面向不同场景的并行通道：v1.2.3供生产环境稳定使用，dev-main供内部快速验证新功能。两者在 Packagist 上是独立条目，Composer 解析时互不影响。
- 生产环境始终用语义化版本：
"vendor/package": "^1.2"，确保锁在你测试过的范围 - 开发/集成测试可用
dev-main，但别直接写"vendor/package": "dev-main"——它不参与版本计算，^和~都无效，且每次composer update都可能拉新 commit - 真要用分支，至少固定 commit：
"vendor/package": "dev-main#abc1234"，这样composer.lock才能锁定 SHA - 私有包若没打 tag，Composer 会 fallback 到 commit hash，删掉 lock 文件再 install 就可能切到另一个 commit
为什么你写的约束总被绕过？SAT 求解器不认“谁先谁后”
Composer 不按require字段顺序解析，也不看哪个包写在前面。它用 SAT 求解器把所有约束（require、conflict、replace、PHP 版本、稳定性）统一建模求解——最终版本必须同时满足所有条件。
- 你以为把
"laravel/framework": "10.40.0"写第一行就能压住其他包的"^10.0"？错。如果某个间接依赖硬性要求"^9.0"，求解器直接报冲突，不会取最大值 - 看到
Your requirements could not be resolved，别改顺序，先跑composer why-not laravel/framework:10.40.0查谁在拦路 -
require-dev里的包只参与开发环境求解，不影响install --no-dev结果；但它一旦写了约束，就和require里的一样具有效力 - 约束越复杂（多个私有源 + 大量
conflict+minimum-stability变动），SAT 求解越慢，甚至卡住；生产环境务必固定composer.lock，避免每次 install 都重解
最常被忽略的一点：版本规划里没有composer.lock的位置，就等于没规划。它不是生成物，是契约——记录了每个包的真实 commit hash、PHP 扩展要求、平台配置。删了重生成，等于放弃对依赖一致性的控制。
