^锚定主版本，等价于>=2.0.0 <3.0.0，允许2.x任意升级；~锚定最左侧非零段，~2.0.0才等价于>=2.0.0 <2.1.0，严格限制次版本。

Composer 不会自动更新依赖，所谓“版本约束”是你写在 composer.json 里的规则，它只在你运行 composer update 或首次 composer install 时起作用。

^ 和 ~ 的实际行为差异在哪

很多人以为 ^2.0 和 ~2.0 差不多，其实它们的升级边界完全不同：

• ^2.0 等价于 >=2.0.0 ，允许装 <code>2.9.9，但绝不会升到 3.0.0
• ~2.0 被 Composer 解析为 >=2.0（注意：没小数点第三位），等同于 2.*，可能装上 2.99.0 —— 这不是 bug，是历史兼容行为
• 真正想锁死次版本（比如只允许 2.0.x 补丁更新），必须写 ~2.0.0，它才等价于 >=2.0.0
• PHP 8.2+ 项目别写 ^8.0，应写 ^8.2，否则可能拉入不兼容的 8.0.12 或 8.1.25

为什么 composer update 没按预期升级

常见现象：你写了 "monolog/monolog": "^2.8"，但 composer update 后还是 2.8.0，没升到 2.10.0。原因通常是：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 某个上游依赖（比如 symfony/console）要求 monolog/monolog: ^2.7，而它自己又被另一个包锁死在 2.7.1，形成传递性约束
• composer.lock 里 monolog/monolog 的 version 字段仍是 2.8.0，且 source.reference 指向一个旧 tag，Composer 默认尊重 lock 文件的已解析结果
• 该包在 Packagist 上最新稳定版确实是 2.8.0，但你本地缓存没刷新，可加 -vvv 看 Composer 实际查了哪些版本
• 包作者打了 v2.10.0-rc1 却没打正式 v2.10.0，而你的 minimum-stability 是 stable，^2.8 就不会认 RC 版本

哪些写法会直接导致 composer update 失败

这些约束在多依赖项目中极易触发冲突，企业级项目应明令禁止：

• "monolog/monolog": "*"：无视 minimum-stability，可能拉取 dev-main 导致 Class not found
• "vendor/package": ">=1.0"：无上限，Composer 可能选 3.0.0，而其他包只认 ^2.0，报错提示类似 Root composer.json requires vendor/package >=1.0, but none of the packages matching that constraint match your minimum-stability.
• "guzzlehttp/guzzle": "^7.*"：语法错误，^7.* 不合法，Composer 解析失败
• "mycompany/sdk": "dev-main"：绕过所有版本控制，每次 update 都拉最新提交，无法被 composer.lock 锁定，CI 构建不可重现

怎么安全地锁定间接依赖

当你发现 psr/log 在 CI 和本地版本不一致，或某天突然报 Interface 'Psr\Log\LoggerInterface' not found，大概率是间接依赖被带偏了。这时不能靠 require 写死，得用 conflict：

• 在 composer.json 根级加 "conflict" 字段，例如：

  "conflict": {
    "psr/log": ">=3.0.0",
    "guzzlehttp/guzzle": ">=8.0.0"
  }

• 它不是“安装指定版本”，而是“禁止安装任何匹配的版本”，Composer 解析时直接跳过，连尝试都不会发生
• 不要用 require-dev 假装需要某个版本来锁间接依赖——会污染 autoloader，还可能触发 dev-only 类加载失败
• 冲突提示里若出现 because package-a requires guzzlehttp/guzzle ^7.5 and package-b requires ^8.0，说明你该把 guzzlehttp/guzzle 加进 conflict

最常被忽略的一点：composer.lock 不是生成物，它是契约。删掉它再 install，等于让 Composer 重新猜一次“最优解”，而这个解可能和上周五的不一样——哪怕你什么都没改。