Composer安装指定版本唯一合法写法是composer require vendor/package:1.2.3，冒号紧连、无空格、不带@/=、版本不带v前缀；^和~按SemVer严格截断升级边界，主版本0时规则反转；生产环境以composer.lock为准。
想让 Composer 安装指定范围的依赖，关键不是“选哪个符号好看”，而是看清楚你到底要什么：是允许补丁更新？还是能接受次版本变化？或者必须死锁到某一个 patch？写错一个符号，composer update 就可能把你的项目升进兼容性坑里。
composer require 后面的版本号怎么写才合法
命令行里加依赖，唯一不会被误解析的写法就一种：composer require vendor/package:1.2.3。冒号必须紧贴、无空格、不带 @、不带 =、版本号不带 v 前缀。
-
composer require monolog/monolog:2.9.1✅ 装 tag2.9.1，写入"monolog/monolog": "2.9.1" -
composer require guzzlehttp/guzzle:~7.5✅ 等价于>=7.5.0 <7.6.0，只放补丁 -
composer require symfony/console:^6.4✅ 等价于>=6.4.0 <7.0.0，放 minor 和 patch -
composer require laravel/framework@9.52.7❌ 报Could not find a matching version -
composer require doctrine/dbal=3.7.0❌ 报Could not parse version constraint -
composer require foo/bar : 1.0❌ 冒号前后有空格，同样失败
^ 和 ~ 的实际行为差异远超直觉
它们不是“大概装个相近版本”，而是按语义化版本（SemVer）做数学区间截断。主版本为 0 时规则还会反转。
-
^1.2.3→>=1.2.3 <2.0.0：允许升到1.99.999，但绝不碰2.0.0 -
^0.2.3→>=0.2.3 <0.3.0：0.x 阶段只放补丁，0.3.0直接被拦 -
~1.2.3→>=1.2.3 <1.3.0：连1.3.0都不允许，只动最后一位 -
~1.2→>=1.2.0 <1.3.0：等价于~1.2.0，不是~1.2.*
写成 ~1.2.3 却装不上？先跑 composer show vendor/package --all，确认该 tag 真存在——很多包跳过 1.2.3，只发了 1.2.2 和 1.3.0，那这个约束就永远匹配不到。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么写了版本却没装上，或 vendor 里还是旧代码
常见原因不是命令失效，而是环境或流程卡在中间环节：
- 执行
composer require后没看到Installing dependencies或Writing lock file，说明自动 install 阶段失败（网络中断、权限不足、git config缺失都可能导致） - 包已存在且当前版本满足新约束（比如你写
^2.8，而当前已是2.8.5），Composer 默认不重下，只更新composer.json和composer.lock -
composer.json改了，但composer.lock没提交或被.gitignore忽略，CI 构建时仍按旧 lock 文件装 - 该版本根本没发布在 Packagist 上，Composer 回退到最近可用版本（比如你写
1.2.3，作者只打了1.2.2和1.3.0）
生产环境真正起作用的是 composer.lock，不是字符串
composer.lock 不是备份文件，它是部署时的唯一可信源。你在 composer.json 里写死 "10.10.0"、用 ^10.10 还是 ~10.10.0，在生产环境都不重要——真正决定装哪个 exact commit hash 或 dist zip URL 的，是 lock 文件里的记录。
最容易被忽略的一点：你在本地 composer.json 里写的 version 字段（比如 "version": "dev-prod-stable"），对依赖解析零影响；它只是元信息，除非你把这个包发布到 Packagist 并打正式 tag（如 v10.10.0），否则别人 require 时根本看不到它。
