真正锁死版本的命令行写法是composer require vendor/package:1.2.3；冒号为唯一分隔符，不可加^、~、@、=或v前缀，包名大小写敏感，且需验证composer.json中对应项为"vendor/package": "1.2.3"无任何修饰符。
composer require 时怎么写才算真正锁死版本
命令行里不加任何符号，才是默认精确匹配。很多人输 composer require guzzlehttp/guzzle:^7.5.0 还以为锁死了 7.5.0，其实它允许所有 7.5.x —— 因为 ^7.5.0 就是 >=7.5.0。
要锁定 7.5.0，就写 composer require guzzlehttp/guzzle:7.5.0（无前缀）。
- 冒号是唯一被识别的版本分隔符；
@、=易报错或解析失败 - 包名大小写敏感：
monolog/monolog对，Monolog/Monolog错 - 版本号不能带
v前缀：monolog/monolog:v2.9.1会被解析为分支dev-v2.9.1，99% 找不到 - 装完立刻检查
composer.json：确认是"monolog/monolog": "2.9.1"，没有^、没有~，引号只包整个字符串值
^ 和 ~ 的数学区间到底怎么算
^ 和 ~ 不是“大概装个相近版本”，它们是语义化版本下的精确数学区间。写错一个符号，composer update 就可能升到你完全没测过的 minor 版本。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
^1.2.3 等价于 >=1.2.3 ，允许升到 <code>1.99.9；~1.2.3 等价于 >=1.2.3 ，只允许补丁级更新（如 <code>1.2.9）。
-
^0.5.1实际只允许>=0.5.1 —— 主版本为 0 时，<code>^退化为~级别 -
^2等同于^2.0.0，真会装2.99.0，哪怕作者在 2.50.0 里悄悄改了 API -
~2.8等同于~2.8.0，上限是2.8.99；但手写成~2.8容易误读为~2.8.0，漏掉第三位不安全 -
^0.0.1几乎等于锁定：只匹配0.0.1本身，改第三位都算 breaking
为什么改了 composer.json 却没生效
因为 composer.lock 优先级永远高于 composer.json 中的约束。哪怕你把 "monolog/monolog": "^2.8.0" 改成 "2.8.1"，跑 composer install 后还是 2.8.0 —— 因为 lock 文件里还记着旧版本。
- 改完
composer.json后，必须运行composer update monolog/monolog（指定包）或全量composer update，才能更新 lock 文件 - CI 环境务必用
composer install，禁用update；否则 lock 被绕过，依赖树重新计算，结果不可控 - 如果已存在宽泛约束（如
"monolog/monolog": "^2.9"），composer require默认复用 lock 逻辑，不会强制重算 - 本地缓存中存在旧 ZIP 包，Composer 可能直接解压后未校验是否匹配你写的版本
0.x 包的约束为什么特别危险
0.x 不是“还没发正式版”的客气话，而是 SemVer 明确定义的「不稳定开发阶段」。这意味着 ^0.5.1 实际只允许 0.5.x，哪怕包作者发了 0.6.0，也属于不兼容变更 —— Composer 会拦住，不是它保守，是规则如此。
-
0.x下次版本变动即视为不兼容，所以^主动收紧；^0.0.4锚在第三位，允许升到0.0.9，但不会到0.1.0 - 长期卡在
0.x的包（比如某些新兴组件或内部工具库），不能只看数字，得查它的 CHANGELOG 或 issue，确认是否真守 SemVer - 依赖链里有
0.x包时，composer update --dry-run必须重点盯：它可能悄悄把0.5.3 → 0.5.4，而后者删了一个你正在用的public方法 - 想支持多个
0.x系列？必须显式写"~0.25.0 || ~0.26.0"，^帮不上忙
