Composer降级分两类：一是用composer self-update指定版本号降级自身，二是用composer require包名:版本号--with-all-dependencies降级项目包；降级后需dump-autoload并验证三处版本一致性。
Composer 本身没有“回滚”概念，所谓降级，本质是重建依赖状态或替换工具二进制——关键看你要降级的是项目依赖包，还是 Composer 自身这个 PHAR 文件。
composer install 为什么没按 lock 文件装旧版本？
它其实装了，但你可能根本没在用旧 composer.lock。常见现象是：执行 composer install 后，vendor/ 里还是新包，甚至报错说找不到类。
- 先确认当前
composer.lock是不是你要的那个历史版本：运行git status composer.lock，如果显示 modified 或 not staged，说明它已被改过 - 若已提交过旧 lock，直接恢复：
git checkout HEAD~1 -- composer.lock（或指定 commit hash） - 删干净
vendor/：rm -rf vendor（Windows 用户请手动删除） - 再跑
composer install—— 此时它才真正只读 lock、不碰composer.json的版本约束 - 别用
composer update --lock，它只是重写 lock，不会清理 vendor，也不会回退任何代码
只想降级某一个依赖包（比如 monolog/monolog）
这是最常被误操作的场景。不要手动改 composer.json 版本号后跑 composer update，那会触发全新依赖解析，可能连带升级其他包。
- 先查可用历史版本：
composer show -a monolog/monolog，确认v2.9.2这类目标版本存在且未被标记为 abandoned - 执行：
composer require monolog/monolog:^2.9 --with-all-dependencies（加--with-all-dependencies防止子依赖冲突时静默跳过） - 它会更新
composer.lock中该包的version、dist/sha256和所有间接依赖项，比手动编辑安全得多 - 如果报
Your requirements could not be resolved，运行composer why-not monolog/monolog:2.9.2查具体冲突来源
composer 自身版本要降到 v2.1.14 怎么办？
composer self-update --rollback 不行，它只能回退上一次升级，且 v2.5.0+ 已禁用任意降级。必须手动下载并替换 PHAR。
立即学习“PHP免费学习笔记（深入）”；
- 查当前位置：
which composer（常见为/usr/local/bin/composer） - 下载目标版本：
curl -sS https://getcomposer.org/download/2.1.14/composer.phar -o /tmp/composer.phar - 校验 SHA384：
shasum -a384 /tmp/composer.phar，和官网对应版本页列出的值比对 - 覆盖安装：
sudo mv /tmp/composer.phar $(which composer) && sudo chmod +x $(which composer) - 注意：v2.1.x 无法解析 v2.7+ 生成的
composer.lock，若 lock 是新版生成的，得先删掉再composer install
为什么降级后项目启动就报错？
不是 Composer 坏了，而是版本与项目元数据强耦合。最容易被忽略的三点：
-
composer.lock格式不兼容：v2.5+ 引入新字段，v2.1 读取时直接拒绝，表现为Your lock file does not contain a compatible set of packages - 插件不支持：比如
phpstan/extension-installer在 v2.2 以下无对应版本，降级后需同步移除或锁定旧版 - PHP 版本倒退：v2.1 要求 PHP >= 7.2，但你的代码用了 PHP 8.2 的
match表达式，运行时报语法错误，而非 Composer 报错
