真正锁死版本必须在composer.json中使用无修饰符的纯三位数字版本号，如"monolog/monolog": "2.11.0"；含^、~等符号的写法均不视为锁死，因仍允许自动升级。
真正锁定一个包的版本，不是靠命令开关或配置项，而是composer.json里写死三位号 + composer.lock提交进 Git + 部署时只跑composer install——缺一不可。
怎么在 composer.json 里写才算真正锁死
必须用无修饰符的纯数字三位版本号，比如"monolog/monolog": "2.11.0"。任何带符号的写法都不算锁死：
-
"monolog/monolog": "^2.11"→ 允许升到2.99.9 -
"monolog/monolog": "~2.11.0"→ 等价于>=2.11.0 ，仍可能升到 <code>2.11.9 -
"monolog/monolog": "2.11"→ Composer 2.x 解析为2.11.0，但旧版可能当2.11.x处理，行为不一致
改完后必须立刻执行composer update monolog/monolog（指定包名），否则composer.lock不会更新，等于白改。
为什么 composer.lock 必须提交到 Git
composer.lock不是缓存文件，它是依赖树的完整快照：记录每个包的确切version、dist.sha256、安装路径和完整依赖链。它起作用的前提是你用composer install来读它。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 没提交
composer.lock，CI 或新同事执行composer install时，会退化成按composer.json重解析——哪怕你写了"2.11.0"，也可能装上2.11.1（尤其镜像源缓存了新版本） - 误删
composer.lock后直接跑composer install，等同于静默执行一次composer update，版本必然漂移 - 上线前可用
composer install --locked校验：它会检查composer.lock中每个版本是否仍满足composer.json的约束，不满足直接报错退出
如何锁定间接依赖（子依赖）
你写的require只管直接依赖，间接依赖由上游包决定。比如laravel/framework要求guzzlehttp/guzzle:^7.5，而spatie/laravel-backup要求^8.0，最终可能装上8.0.0——composer.lock只能记录当前结果，不能阻止下次解析出不同版本。
- 唯一可靠方式是用
conflict字段：在composer.json根级加"conflict": { "guzzlehttp/guzzle": ">=8.0.0" } - Composer 解析依赖时会直接拒绝匹配
conflict规则的版本，连尝试安装都不会发生 - 别用
require-dev“假装需要”某个版本来锁间接依赖——会污染 autoloader，还可能触发 dev-only 类加载失败
临时跳过某个包更新的安全做法
日常维护中常需更新大部分依赖，但冻结 Laravel、Guzzle 这类关键包。这时别碰composer.json，用命令行精准控制更安全：
- Composer 2.2+：用
composer update --ignore=laravel/framework，跳过该包及其子依赖的更新检查 - 兼容旧版：显式列出要更新的包，漏掉那个就行，例如
composer update symfony/console phpunit/phpunit - 用
composer update --dry-run预览变更，看清楚哪些包会被升，再决定是否执行 - 注意：
--ignore不解除依赖校验——如果其他包硬性要求monolog:^3.0，仍会报冲突
最容易被忽略的是：conflict只影响下一次composer install或composer update，对已安装的包完全无感；而composer.lock一旦被忽略或未提交，所有锁定逻辑就形同虚设。
