SemVer 不守规则时 ^ 和 ~ 失效：Composer 仅机械解析版本号，若包违反 SemVer（如 2.5.0→2.6.0 引入破坏性变更），^2.5.0 仍会升级并导致运行时报错。

第三方包没守 SemVer，^ 和 ~ 就会失效

Composer 不会检查包作者有没有守 SemVer，它只按版本字符串机械计算范围。如果一个包发了 2.5.0 → 2.6.0 却偷偷改了接口，^2.5.0 依然会装上 2.6.0，然后你的代码在 runtime 报 Call to undefined method。

这种包常见于小众 SDK、内部私有库、或长期卡在 0.x 又乱发 patch 的项目。你不能指望 ^ 或 ~ 起保护作用——它们的逻辑只对守规矩的包有效。

• ^2.5.0 表示 >=2.5.0 ，只要版本号满足这个数学区间就装，不管 API 是否兼容
• ~2.5.0 表示 >=2.5.0 ，看似更窄，但如果作者在 <code>2.5.1 里加了 BC break，照样崩
• 查 Packagist 页面的 Releases 标签页，看最近几次 tag 的变更说明（CHANGELOG、PR title、commit message），比看版本号更有用

不守规矩的包，只能靠精确版本 + commit hash 锁死

当确认某个包不守 SemVer，又必须用它时，唯一可靠方式是跳过版本号，直接绑定到某次确定可用的提交。

比如你想固定 acme/sdk 到已验证能跑通的 dev-main#abc1234：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 先删掉 vendor/acme/sdk 和 composer.lock 中该包条目
• 运行 composer require acme/sdk:dev-main#abc1234（注意中间无空格，# 后是真实 commit hash）
• 检查 composer.lock：搜索 acme/sdk，确认 "version": "dev-main" 且 "source": {"reference": "abc1234"}
• 别写 "acme/sdk": "dev-main" —— 这只是指向分支 HEAD，下次 update 就可能换掉

用 composer why-not 定位被“野包”拖垮的依赖链

当冲突报错里出现 Conclusion: don't install xxx，但你根本没主动 require 它，大概率是某个不守规矩的包在 transitive dependency 里悄悄锁死了某个版本，把其他包堵死了。

例如：composer why-not guzzlehttp/guzzle:^7.5 输出：

myapp/myproject dev-main requires acme/sdk (dev-main)
acme/sdk dev-main requires guzzlehttp/guzzle (6.5.5)

这就暴露了问题根源：不是 guzzlehttp/guzzle 本身，而是 acme/sdk 在 composer.json 里硬写了 "guzzlehttp/guzzle": "6.5.5"，且没发新 tag 适配 7.x。

• 此时别去改自己的 composer.json 加 || 或放宽约束——那只是把冲突推迟到运行时
• 优先联系包维护者，或 fork 后自己修依赖、打 tag
• 实在不行，用 replace 段声明替换该包，再手动引入兼容版本

锁定后还要防 CI/CD 里被绕过

就算本地锁死了，CI/CD 流水线里一个 composer install --no-lock 或 composer update 就全白干。

• 确保 CI 脚本明确使用 composer install --no-dev --optimize-autoloader --locked
• --locked 是关键：它强制校验 composer.lock 是否与 composer.json 匹配，不匹配直接失败，不会静默 fallback 到 update
• 流水线里禁止出现 composer update，除非是专门的依赖审计任务
• 部署前加一步 composer show acme/sdk，输出版本必须是 dev-main #abc1234，不是 dev-main 或 2.6.0

真正麻烦的从来不是怎么写约束，而是当别人不按规则出牌时，你得知道哪条路不会绕回原点。不守 SemVer 的包，composer.lock 是唯一可信的锚点，但前提是它被正确生成、提交、并在每一步执行中被严格校验。