执行 composer update 后包没变，不是命令失效，是 composer.json 里的版本约束拦住了它——Composer 从不跨主版本升级，也从不违背你写的约束。"^2.0" 等价于 >=2.0.0
执行 composer update 后包没变，不是命令失效，是 composer.json 里的版本约束拦住了它——Composer 从不跨主版本升级，也从不违背你写的约束。
为什么 "^2.0" 死活不装 3.0？
因为 ^2.0 是语义化版本（SemVer）的合法写法，它等价于 >=2.0.0 。Composer 严格按这个区间找最新可用版，哪怕 <code>monolog/monolog 已发 3.0.0，它也不会碰。
- 想升主版本？必须手动改
composer.json，比如把"^2.0"换成"^3.0"，再跑composer update monolog/monolog - 改完不提交
composer.lock？队友composer install还是旧版，CI 构建也会不一致 - 用
composer outdated看哪些包有主版本可升：带!标记的，就是被约束卡住的
为什么 vendor 里还是 2.8.0，明明 2.9.1 已发布？
因为 composer.lock 记着 "monolog/monolog": "2.8.0"，而 ^2.0 允许升到 2.9.1 ——但 Composer 默认不会主动跳，除非你触发重算。
- 运行
composer update会重算整个依赖图，只要新版本满足约束且兼容，就会升 - 但如果你只改了
composer.json的注释、没动依赖行，或者锁文件 hash 被手动改过，Composer 可能直接跳过更新 - 遇到“没变化”，先试
composer update --dry-run，看它到底打算动什么；再加-vvv查请求是否卡在镜像源
为什么换镜像后 update 更慢、甚至选错版本？
国内镜像（如阿里云）同步有延迟，且部分镜像未完整代理 packagist.org 的元数据（比如 stability flags、require.php 版本），导致 Composer 解析出错或降级选版。
- 临时切回官方源验证：
composer config -g repo.packagist composer https://packagist.org，再composer update - 别信终端输出的 “Updating dependencies”，要看
composer show vendor/package输出的实际版本号 - CI 环境建议禁用镜像：
composer config --global repo.packagist false，避免因镜像不一致导致构建漂移
真正容易被忽略的是：Composer 不是“升级工具”，而是“约束求解器”。它永远优先满足所有已声明的限制，其次才是取新。你以为的“旧”，往往是约束太紧、锁文件太老、或镜像太滞后——而不是它不肯动。
