Composer依赖冲突本质是约束无交集，应先用composer why-not定位阻断链：执行composer why-not vendor/package:version（如guzzlehttp/guzzle:^8.0），其倒序输出中最后一行是根项目需求，往上每行末尾的(for xxx v1.2.3)才是实际封杀者；输出为空说明该版本未发布，非冲突问题。
Composer 安装提示版本冲突，不是版本号写错了，而是依赖约束之间没有交集——composer why-not 才是第一响应动作，不是删 vendor 或加 --ignore-platform-reqs。
怎么快速定位谁在封杀目标版本
错误信息里那句 Your requirements could not be resolved 只是结论，真正卡死的包藏在间接依赖里。直接运行 composer why-not vendor/package:version（比如 composer why-not guzzlehttp/guzzle:^8.0），它会倒序列出阻断链：
- 最后一行是你自己项目（
myapp/myproject dev-main requires ...），这是“提需求”的源头 - 往上每一行末尾的
(for xxx v1.2.3)才是实际封杀者，比如spatie/laravel-backup v7.2.0 requires symfony/console ^5.4 - 如果输出为空，说明该版本根本没发布过，不是冲突，是
packagist.org上查不到这个 tag
为什么写了 "2.9.1" 还是装了 2.9.2
composer.json 里写 "monolog/monolog": "2.9.1" 并不等于锁死——前提是这个字符串必须是纯数字、三位完整、无空格、无前缀、无符号。常见失效写法：
-
"2.9"→ 允许补丁升级，等价于^2.9.0 -
"2.9.*"或"2.9.1 "（末尾有空格）→ 解析失败或退化为模糊匹配 -
"v2.9.1"→ 被当成分支名dev-v2.9.1，找不到就报错
验证是否真锁死：运行 composer show monolog/monolog，看 versions 行是否严格等于 2.9.1；再搜 composer.lock，确认存在 "version": "2.9.1" 且 "source": {"reference": "xxx"} 是确定 commit hash，不是 dev-main。
镜像源改了，但依赖还是不对？检查这三处
换阿里云或腾讯镜像后仍出现版本漂移，问题往往不在源本身，而在本地状态残留：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock没提交或被.gitignore过滤 →composer install退化为重新求解，结果不可控 - 本地缓存里有旧 ZIP 包 → Composer 直接解压，跳过版本校验（尤其在 CI 中未禁用缓存时）
- PHP 版本不一致 → 同一个
composer.json在 PHP 7.4 和 8.2 下，composer install可能装出不同psr/log版本（因 platform 配置参与求解）
CI 中务必显式加 cache: false，并跑 ls -la composer.lock && git log -1 --format=%H -- composer.lock 校验 lock 文件来自当前 commit。
想锁定 dev 分支？commit hash 才算数
写 "monolog/monolog": "dev-main" 不是锁定，是放任漂移——每次 composer update 都可能拉最新 HEAD。中文团队尤其危险：别人合入 PR 改了 main，你本地 composer install 就悄悄变了。
真要固定开发分支，只能用 commit hash：
- 在
composer.json里写"monolog/monolog": "dev-main#abc1234" - 确保
composer.lock中对应项的"source": {"reference": "abc1234..."}与之完全一致 - 别信
composer require monolog/monolog:dev-main#abc1234—— 它默认加^，得手动删掉
commit hash 是唯一不依赖远程分支状态的锚点，也是协作中唯一能跨环境复现的“版本”。
