星号*在composer.json中无效，会触发Invalid version string错误；Composer仅支持语义化版本约束（~、^、范围、精确版本），dev-master/dev-main才是真危险的“通配符”，因其跳过SemVer检查并拉取最新commit。
星号*在composer.json里根本无效
直接写"vendor/package": "*"会触发Invalid version string错误。Composer不支持shell式通配符，也不接受1.*或^1.*这类写法。它只认语义化版本约束（~、^、范围、精确版本），*不是合法版本字符串。
dev-master和dev-main才是真危险的“通配符”
真正导致线上崩溃的不是*，而是显式写了"vendor/package": "dev-master"或"dev-main"。这类分支名会被Composer当作开发版本处理，跳过SemVer兼容性检查，直接拉取最新commit——哪怕没打tag、API已破坏、PHP补丁版不兼容。
- CI中若未锁定
platform.php，某些dev-包可能因PHP 8.2.12 vs 8.2.13差异编译失败 -
composer.lock里记录的是commit hash，不是版本号；下次git pull后哈希变，composer install就装不上 -
--prefer-stable对dev-无约束力，它只影响候选版本排序，不阻止dev-main被选中
想模糊匹配？用~或^代替*
需要宽松升级时，~1.2.0和^1.2.0是唯一安全选择，但二者行为差异极大：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
~1.2.0→>=1.2.0 ：只允许补丁升级（1.2.9可，1.3.0不可） -
^1.2.0→>=1.2.0 ：允许次版本+补丁升级（1.9.0可，2.0.0不可） -
^0.3.0→>=0.3.0 ：0.x阶段更保守，连次版本都不放行
别写~2.7，它等价于~2.7.0但可读性差，还可能意外拉到2.7.0-RC1。
生产环境必须锁死版本或用as语法绕过自动升级
框架类包（如laravel/framework）不能依赖^或~——它们会在你不注意时升到未经验证的小版本。最稳做法是：
- 精确指定：
"laravel/framework": "10.42.0" - 或强制映射：
"laravel/framework": "10.42.0 as 10.0.0"，让Composer认为它是10.0.0，从而堵住^10.0自动升到10.43.0的路径
真正容易被忽略的是：哪怕你改了composer.json，不跑composer update vendor/package，vendor/里还是旧代码；而composer.lock里的source.type要是"source"，说明装的是dev分支，不是dist包——这种状态根本没法上生产。
