要锁定特定 Composer 包版本，核心是：在 composer.json 中写死纯数字三位版本号（如 "monolog/monolog": "2.9.1"），提交 composer.lock 至 Git，并统一执行 composer install——三者缺一不可；否则仍会意外升级。
要锁定特定 Composer 包版本，核心就一条：在 composer.json 中写死纯数字版本号（如 "monolog/monolog": "2.9.1"），同时确保 composer.lock 已提交、所有环境统一执行 composer install——缺一不可。第三方库突发 Bug 时，这不是“临时补救”，而是你唯一能快速止血的确定性操作。
怎么写才算真正锁死一个包？
关键不是“想锁”，而是“写对”。Composer 对版本字符串的解析有默认规则，很多你以为锁死了，其实没锁。
- ✅ 正确写法：
"phpunit/phpunit": "9.6.15"—— 不带任何符号，三位完整语义化版本，双引号内只有数字和点 - ❌ 错误写法：
"phpunit/phpunit": "^9.6.15"（允许升到9.6.x）、"phpunit/phpunit": "9.6"（等价于~9.6.0）、"phpunit/phpunit": "dev-main"（每次 update 都拉最新 commit） - ⚠️ 特殊情况：分支 + commit hash 才算真锁定，例如
"monolog/monolog": "dev-main#abc1234"；写dev-main就是放任漂移
第三方库爆 Bug，怎么紧急回退或固定？
别碰 composer update，它会重新解析整个依赖图，可能把其他包也带升级或降级。目标是“只动这个包，且只降到你确认安全的版本”。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先查当前装的是什么：
composer show monolog/monolog，确认已装版本（比如是2.9.4） - 编辑
composer.json，把对应行改成你要的稳定版，如"monolog/monolog": "2.9.1" - 运行
composer update monolog/monolog（只更新这一个包）——它会重写composer.lock并安装2.9.1，不影响其他包 - 立刻
git add composer.json composer.lock && git commit -m "pin monolog to 2.9.1 after CVE-2026-xxx"
为什么改完 composer.json 还是装错版本？
因为 composer.lock 比 composer.json 优先级高，而且 CI/部署脚本常踩这个坑。
-
composer install只看composer.lock，哪怕composer.json里写的是^2.9，只要 lock 文件里存着2.9.1，就一定装2.9.1 - 但如果你本地改了
composer.json却忘了运行composer update monolog/monolog，lock 文件还是旧的，composer install就不会变 - CI 脚本里写了
composer update（无参数）或composer install --no-lock，等于直接绕过锁定逻辑 - 验证是否生效：运行
composer show monolog/monolog，输出必须只有一行versions : 2.9.1；再跑composer update monolog/monolog --dry-run，应提示Nothing to install or update
长期维护中容易被忽略的点
最危险的不是语法写错，而是流程断点：有人改了 composer.json，但没提交 composer.lock；或者 CI 脚本里混用了 install 和 update；又或者某个子依赖（比如通过 guzzlehttp/guzzle 间接引入的 psr/http-message）没出现在 require 里，导致它不受根级版本约束保护。
真正起作用的永远是那三样东西同时在线：composer.json 里的纯数字字符串、已提交的 composer.lock、以及所有环境无例外地执行 composer install。
