真正锁死版本的写法是"monolog/monolog": "2.9.1"，必须为纯数字、三位完整、无符号、无空格、无v前缀；其他如"^2.9.1"、"2.9"、"v2.9.1"均会导致版本漂移。
composer.json里怎么写才算真正锁死版本
中文镜像环境下，composer.json里写错一个符号，就等于没锁——镜像只是加速下载，不改变版本解析逻辑。真正生效的写法只有一种："monolog/monolog": "2.9.1"，必须是纯数字、三位完整、无任何前缀或后缀。
常见错误包括："monolog/monolog": "^2.9.1"（允许升到2.99.9）、"monolog/monolog": "2.9"（补丁号省略，等价于"2.9.*"）、"monolog/monolog": "v2.9.1"（v前缀会被当分支名解析为dev-v2.9.1）。
- 包名大小写敏感：
monolog/monolog对，Monolog/Monolog错 - 版本号不能带空格：
"monolog/monolog": "2.9.1 "（末尾空格）会导致composer show输出版本不匹配 - 中文环境特别注意：某些编辑器保存时可能插入BOM或全角字符，用
cat -A composer.json检查是否含^M或M-oM-?M-?
为什么用了国内镜像 still 装了新版本
镜像源本身不参与版本决策，它只提供已发布的包 ZIP 或 Git commit 的缓存副本。你装了2.9.2而不是2.9.1，根本原因不是镜像“换包”，而是composer.lock没生效或被绕过。
典型场景：composer install日志里出现Resolving dependencies——这说明它已退化为update行为，正在重新求解，此时镜像只是更快地拉来2.9.2的 ZIP。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 检查
composer.lock是否被.gitignore过滤（尤其团队里有人加了/vendor但漏掉/composer.lock） - 确认部署脚本没加
--no-lock或COMPOSER_NO_INTERACTION=0导致交互式 fallback - 中文 Windows 环境下，Git 默认启用
core.autocrlf=true，可能破坏composer.lock的 JSON 结构，建议全局设git config --global core.autocrlf input
composer require 命令在镜像下怎么避免踩坑
中文用户常输composer require monolog/monolog:2.9.1却装成dev-main，问题不在镜像，而在命令格式。Composer 只认冒号分隔、无空格、无引号、无@或=的写法。
错例：composer require monolog/monolog@2.9.1 → 解析为仓库地址；composer require monolog/monolog = 2.9.1（空格）→ Could not parse version constraint。
- 正确执行后，立刻验证：
composer show monolog/monolog输出第一行必须是versions : * 2.9.1（星号在前，且无其他版本并列） - 再查
composer.lock中该包条目："version": "2.9.1"字段存在，且"source": {"reference": "abc123..."}是短哈希（不是40位），说明装的是 tag 而非分支 - 如果用的是阿里云或腾讯云镜像，记得配置
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，但配置完要删掉~/.composer/auth.json里旧的 token，否则可能因鉴权失败 fallback 到官方源
CI/CD 中如何强制校验锁定是否生效
中文团队 CI 流水线最容易忽略的一环：没验证composer.lock和composer.json是否语义一致。即使文件都在，PHP 版本或平台扩展不匹配也会触发隐式 update。
推荐在 CI 第一步加入校验脚本：
ls -la composer.lock && \ git log -1 --format=%H -- composer.lock | grep -q $(git rev-parse HEAD) && \ composer install --no-dev --dry-run --no-interaction 2>&1 | grep -q "Loading composer repositories"
-
--dry-run能提前暴露“Resolving dependencies”日志，比等安装完再报错更早发现问题 - 中文环境 CI 镜像常预装 Composer 缓存，必须显式清空：
rm -rf ~/.composer/cache，否则可能复用旧 lock 里的错误版本 - 关键但易被忽略：
composer.json里"config": {"platform": {"php": "8.2.12"}}必须和服务器php -v输出完全一致（小版本号也要对），否则composer install会静默跳过 lock 校验
