唯一可靠写法是composer require vendor/package:1.2.3，因Composer仅识别冒号分隔、无空格、无v前缀、不加@或=的语法；错写会误解析为分支或报错，且须验证Packagist存在性及composer.json与composer.lock中版本精确一致。
直接用 composer require vendor/package:1.2.3 就能装指定历史版本，其他写法基本无效或误解析为分支——这不是配置问题，是 Composer 版本解析器的硬性规则。
为什么 composer require vendor/package:1.2.3 是唯一可靠写法
Composer 只严格识别冒号分隔、无空格、无前缀、不带 @ 或 = 的格式。写错一个字符，它就可能把 1.2.3 当成分支名 dev-1.2.3 去找，结果报 Could not find a matching version。
-
vendor/package@1.2.3→ 被解析为 Git 仓库地址，忽略版本 -
vendor/package=1.2.3→ Composer 2.2+ 虽能兼容，但非标准，部分旧环境会失败 -
vendor/package : 1.2.3（冒号前后有空格）→ 解析失败，提示Could not parse version constraint -
v1.2.3（带v前缀）→ 解析为分支dev-v1.2.3，99% 找不到
执行后立刻检查 composer.json：对应行必须是 "vendor/package": "1.2.3"，不能含 ^、~ 或多余引号。
装完还是新版？先查这三处
现象是运行了 composer require monolog/monolog:1.17.2，但 vendor/ 里仍是 1.27.2——大概率不是命令失效，而是环境没清干净。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock已被覆盖：之前跑过composer update，锁文件里存的是新版本，下次composer install只会还原那个“新”版 - 本地缓存残留 ZIP 包：Composer 可能直接解压缓存，不校验版本是否匹配
- 该 tag 根本不存在：比如包只打了
1.17.1和1.18.0，你写1.17.2就永远匹配不到
验证方法：composer show -a monolog/monolog 看输出里有没有你要的版本；再打开 Packagist 页面确认状态是否为 stable，有没有标 abandoned。
镜像源不影响历史版本能否装，但影响下载成败
国内镜像（如 https://mirrors.aliyun.com/composer/）只是代理官方源，所有历史版本数据都来自 Packagist，镜像本身不增删版本。但如果你没配镜像，composer require 很可能卡在 Loading composer repositories... 或报 Could not fetch ——这不是版本不存在，是请求超时或 SSL 失败。
- 临时生效：
composer require vendor/package:1.2.3 --repository-url https://mirrors.aliyun.com/composer/ - 全局生效：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 若仍失败，先
composer clear-cache，再重试；个别企业网络拦截 HTTPS，可降级用http://mirrors.aliyun.com/composer/（仅限内网可信环境）
注意：self-update 不走镜像源，换镜像对升级 Composer 本身无效；装历史版本时，composer.lock 里的 source.type 必须是 dist，若出现 40 位 commit hash，说明实际拉的是 dev 分支，不是 tag。
