composer require vendor/package:1.2.3是唯一可靠写法，因Composer仅识别冒号分隔、无空格、无v前缀、不加@或=的语法；错写会误解析为分支或报错，且装完须验证composer.json和composer.lock中版本精确一致。
想装旧版，就用 composer require vendor/package:1.2.3 —— 其他写法基本都错，不是报错就是装成 dev 分支。
为什么 composer require vendor/package:1.2.3 是唯一靠谱写法
Composer 解析版本字符串时只认一种语法：冒号分隔、无空格、无前缀、无引号（除非含破折号）。写错一个字符，它就可能把 1.2.3 当成分支名 dev-1.2.3 去找，结果报 Could not find a matching version。
-
vendor/package@1.2.3→ 被当仓库地址，忽略版本 -
vendor/package=1.2.3→ 旧版 Composer 可能解析失败，新版虽兼容但非标准 -
vendor/package : 1.2.3（冒号前后有空格）→Could not parse version constraint -
v1.2.3→ 解析为分支dev-v1.2.3，99% 找不到
执行后立刻检查 composer.json：对应行必须是 "vendor/package": "1.2.3"，不能带 ^、~ 或多余引号。
装了命令却还是新版？先查这三处
现象是运行完 composer require monolog/monolog:1.17.2，vendor/ 里却是 1.27.2——大概率不是命令失效，而是环境没清干净。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock已被覆盖：如果之前跑过composer update，锁文件里存的是新版本，下次composer install就只还原那个“新”版 - 本地缓存里有旧 ZIP 包：Composer 可能直接解压缓存，不校验版本号是否匹配
- 该 tag 根本不存在：比如包只打了
1.17.1和1.18.0，你写1.17.2就永远匹配不到
验证方法：composer show -a monolog/monolog 看输出里有没有 1.17.2；再打开 Packagist 页面确认状态是否为 stable，有没有标 abandoned。
降级已有包，别碰全量 composer update
项目里已有 guzzlehttp/guzzle 7.8.0，只想降到 7.4.5，又不想动其他包——全量 composer update 会连带升级一堆依赖，极可能引入冲突。
- 安全做法是两步：
composer require guzzlehttp/guzzle:7.4.5 --no-update（只改composer.json），再composer update guzzlehttp/guzzle（只更新这个包） - 如果报冲突，说明
7.4.5和当前其他依赖不兼容，得看composer why guzzlehttp/guzzle查谁在强依赖高版本 - 别用
--with-all-dependencies硬顶，容易把整个依赖图拉崩 - 更彻底的清理：先
composer remove guzzlehttp/guzzle，再composer require guzzlehttp/guzzle:7.4.5
装框架旧版（如 Laravel 5.8）要加 --stability
大框架的老版本常被标记为 RC 或已归档，Packagist 默认不展示。直接 composer create-project laravel/laravel:5.8 会报 No matching package found。
- 正确命令：
composer create-project laravel/laravel=5.8.* myapp --stability=stable --prefer-dist - 漏掉
=5.8.*或写成5.8（没通配符），会因版本解析失败 - 某些极老版本（如 Symfony 2.3）需额外加
--ignore-platform-reqs绕过 PHP 版本限制，但要注意运行时是否真能跑 - 如果 Packagist 找不到，直接去 GitHub 的
tags页面查composer.json，确认5.8.*是否真实存在且未被删除
最易被忽略的是：改完 composer.json 后只跑 composer install，它完全不读新写的版本号——必须让 composer.lock 更新，否则永远还原旧状态。
