Composer require 后必须用冒号连接包名和版本号，如monolog/monolog:2.9.1；@、=、空格等均非法，版本号不可带v前缀且大小写敏感，含破折号需加引号，beta/RC版须指定--stability。
composer require 后面必须用冒号连接包名和版本号
唯一被 Composer 官方支持、且在所有稳定版本中行为一致的写法是 composer require vendor/package:1.2.3。冒号是强制分隔符，不能替换成 @、=、空格或任何其他符号。
常见失败现象包括：Could not find a matching version（实际是语法错误被误判为版本不存在）、命令被截断、或装上完全不相关的分支（比如 dev-1.2.3）。
-
monolog/monolog:2.9.1✅ 正确，精确安装 tag v2.9.1 -
monolog/monolog@2.9.1❌ 报错，@仅用于composer install的本地路径或 Git URL 场景 -
monolog/monolog = 2.9.1❌ 命令解析失败，空格导致=被当作文本而非操作符 -
monolog/monolog: v2.9.1❌ 冒号后带空格，解析中断
版本号本身不能带 v 前缀，大小写必须严格匹配
绝大多数包的 Git tag 和 Packagist 元数据里写的都是 1.2.3，不是 v1.2.3。加 v 会导致 Composer 在 Packagist 上查不到对应 release，直接报错。
包名也区分大小写：topthink/think-queue 是对的，TopThink/think-queue 或 topthink/Think-Queue 都会失败——Composer 不做大小写归一化。
- 查证方式：打开
https://packagist.org/packages/vendor/package，点开你要的版本号，看 URL 和页面顶部显示的 exact version 字符串 - 含破折号的版本（如
9.0.0-RC1）建议加引号：composer require "laravel/framework":"9.0.0-RC1"，避免 shell 把-当作参数解析 - 如果包已标记为
abandoned，Packagist 页面会明确提示替代包，硬装旧版大概率在 runtime 触发Class not found或方法不存在
想锁死版本？别只靠命令，得改 composer.json
执行 composer require vendor/package:1.2.3 会把 "vendor/package": "1.2.3" 写入 composer.json 的 require 字段——但前提是没加 ^、~ 或 dev- 前缀。只要写成纯数字字符串，后续 composer install 就不会漂移。
如果发现 composer.lock 里 source.reference 是长 commit hash（如 "a1b2c3d4e5f67890..."），说明 Composer 实际拉的是源码而非 dist 包，很可能你写的 1.2.3 被当成分支别名解析了。此时应删掉 vendor/ 和 composer.lock，再重跑一次 require 命令。
- 检查是否真锁死：打开
composer.json，确认该行是"monolog/monolog": "2.9.1"，而不是"^2.9.1"或"~2.9.0" -
composer.lock只是快照，不可替代composer.json中的显式声明；一旦有人执行composer update或删了 lock 文件，没写死的版本就可能升级 - 同一包若在
require和require-dev中指定不同版本，Composer 会直接拒绝安装，必须手动统一
beta/RC 版本要额外加 --stability 参数
默认 minimum-stability 是 stable，所以 composer require vendor/package:2.5.0-RC1 会失败，不是写法错，而是策略拦截。必须显式放宽：
- 临时安装：
composer require vendor/package:2.5.0-RC1 --stability=RC - 永久允许（慎用）：
"minimum-stability": "RC"加到composer.json根对象里 - 更安全的做法：
"prefer-stable": true+--stability=RC，这样只对目标包降级，其余仍走 stable - 验证是否生效：装完后运行
composer show vendor/package，输出中的versions行应显示2.5.0-RC1，且composer.lock中version字段也为"2.5.0-RC1"
最易忽略的一点：版本号必须和包自身 composer.json 里声明的 version 字段或 Git tag 完全一致——少一个数字、大小写错、分隔符用点还是横线，都会失败。别猜，先查 Packagist。
