Composer不支持"1."或"^1."语法，应写"^1"匹配1.x版本；composer validate仅校验JSON结构，语义错误需composer install --dry-run检测，"config": {"platform": {"php": "8.3"}}会掩盖真实兼容性问题。
composer.json里写了"1.*"或"^1.*"直接报错
这不是版本范围太宽，是语法非法。Composer根本不支持*通配符用于数字段后，"monolog/monolog": "1.*"或"^1.*"会触发Invalid version string错误。
想匹配所有 1.x 版本，写"^1"（等价于>=1.0.0）；想匹配 1.2.x，写"^1.2"或"~1.2"，别加.*。
-
"^1"→ 允许 1.0.0 到 2.0.0 之前的所有版本 -
"~1.2"→ 等价于>=1.2.0 ，只放开修订号 - 写
"1.2.*"会被当成无效字符串，不是松散匹配，是解析失败
装不上包却报“Could not find a matching version”
通常不是包不存在，而是你写的约束和实际发布的 tag 对不上。比如写了"guzzlehttp/guzzle": "^8.0"，但该包最新 stable 版还是 7.9.2，或者你本地没启用私有源。
先运行composer show -a guzzlehttp/guzzle，看输出末尾的稳定性标记（stable / dev / RC），再对照你写的约束是否允许该类型。
- 默认只匹配
stable，要装dev-main得加--stability=dev或设"minimum-stability": "dev" - 私有 Git 包必须在
composer.json里声明"repositories"，否则 Composer 根本不查 - 拼写错误（如
"laravel/sanctum "多一个空格）不会在 install 阶段报错，但 autoload 会失效
~ 和 ^ 看似差不多，但锚定点完全不同
^1.2.3锚定主版本，允许升到1.12.0；~1.2.3锚定你写到的最后一位，只允许升到1.2.99，1.3.0直接被拒。
这个差异在小版本频繁迭代的包上特别致命——比如某包在 1.8.0 废弃了你正在用的方法，^1.2.3仍会把它拉进来，~1.2.3则卡死在 1.2.x 安全区。
-
~1.2实际等价于~1.2.0，不是“>=1.2.0”的模糊匹配 - 0.x 包下
^和~行为偶然重合，但逻辑不同：^0.0.3锁死不动，~0.0.3可升到0.0.999 - 不确定时，去 Packagist 页面查最新 stable tag，再决定用
^x.y还是~x.y.z
composer install失败但validate通过？格式没问题，语义可能崩了
composer validate只管 JSON 结构和字段存在性，不管版本号是否真实存在、autoload 路径是否存在、PHP 版本是否达标。
真正暴露问题的是composer install --dry-run（Composer 2.5+），它会模拟安装全过程，提前报出requires php ^8.1 but your PHP version (7.4.33)这类语义错误。
-
"config": {"platform": {"php": "8.3"}}写进 composer.json 是危险操作，它会让 Composer “假装”运行在 8.3，掩盖真实兼容性问题 -
--ignore-platform-reqs只是跳过检查，不是解决方案——装完跑match或readonly照样 Fatal error - 刚 clone 项目就失败？先确认
composer.lock存在且没被.gitignore误排除
