^1.2 等价于 >=1.2.0 <2.0.0，允许小版本和补丁升级；~1.2 等价于 >=1.2.0 <1.3.0，仅允许补丁升级。
^ 和 ~ 的行为差异必须看懂再用
很多人以为 ^1.2 和 ~1.2 都是“允许小版本升级”，其实它们的边界完全不同，直接决定你是否会在某次 composer update 后遇到 BC break。
-
^1.2等价于>=1.2.0 ：允许所有 1.x 版本，包括 1.99.0 —— 只要主版本号还是 1 -
~1.2等价于>=1.2.0 ：和上面一样？错。它实际等价于 <code>>=1.2.0 ，因为 <code>~是按“最后一位非零数字”截断的 -
~1.2.3才真正对应>=1.2.3 ；而 <code>^1.2.3对应>=1.2.3 - 所以
~1.2≠~1.2.0：前者是，后者才是 <code>（二者结果相同，但逻辑起点不同）
典型踩坑场景：Laravel 8.x 项目里写 "laravel/framework": "~8.0"，本意是锁死 8.x，结果 Composer 解析为 >=8.0.0 ，连 8.0.1 都装不上 —— 实际该用 <code>^8.0。
什么时候该放弃 ^，改用精确范围
当你依赖的包不严格遵守 SemVer，或你明确知道某个中间版本有严重 bug / 兼容问题时，^ 的“自动跨小版本升级”反而危险。
- 比如
monolog/monolog在 2.8.0 中引入了对 PHP 8.2 的不兼容改动，而 2.9.0 修复了它 —— 如果你只写^2.8，composer update可能卡在 2.8.0 不动 - 更稳妥的写法是：
"monolog/monolog": ">=2.8.0 =2.9.0"，或干脆分两行约束："monolog/monolog": ">=2.8.0 + 后续手动升到 <code>"^2.9" - CI/CD 流水线中建议用
composer install --no-dev+composer.lock固定解析结果，但约束本身仍需提前设计合理，否则lock文件也会记录错误的可选范围
dev- 分支和 * 版本在生产环境就是定时炸弹
"package/name": "dev-master" 或 "package/name": "*" 看似方便，实则绕过了所有语义化版本保护机制。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
dev-引用的是 VCS 最新提交，不是 tag —— 意味着任何一次composer update都可能拉下未测试、无文档、甚至破坏性变更的代码 -
*会受minimum-stability影响：若设为stable，它可能装最新 stable；若设为dev，就退化成dev-master - 唯一可接受的例外：你自己维护的私有包，且 CI 已确保每个
dev-main提交都通过全量测试套件
真实案例：某项目因 "overtrue/wechat": "*" 在凌晨自动升级到 v5.0.0（主版本跃迁），导致所有微信回调签名失效，持续 47 分钟。
安全更新不会自动发生，得靠约束+审计双驱动
composer update 默认不关心 CVE，只认 composer.json 里的约束是否满足。哪怕已知某包 v2.1.2 有高危 RCE，只要 ^2.1 还允许 v2.1.0，它就不会动。
- 必须先运行
composer audit（Composer 2.5+ 内置）或composer security:audit（旧插件）获取漏洞清单 - 然后针对性执行
composer require vendor/package:v2.1.3，再跟composer update --with-dependencies推动关联依赖同步适配 - 如果约束太宽（如
^2.0），v2.1.3虽然被装上，但下次update仍可能回落到v2.1.0—— 所以约束本身也要配合安全节奏收紧
最易忽略的一点：很多团队只在主应用层做审计，却忘了 require-dev 里的包（如 phpunit/phpunit）同样可能带漏洞，且其版本约束常被写得更宽松。
