composer通过修改composer.json中的版本约束并执行update来指定包版本，常见约束有"1.2.0"（精确锁定）、"^1.2"（允许次版本升级）、"~1.2"（仅补丁升级）、"dev-main"（需配合minimum-stability）等。
怎么用版本约束指定特定包版本
Composer 不是靠“切换”来换版本，而是靠重写 composer.json 里的版本约束，再执行 composer update。约束写错，就可能拉不到想要的版本，甚至锁死在旧版。
常见错误现象：composer require vendor/package:1.2 看似指定了版本，但实际会写成 "^1.2"（如果没加 -v 或显式约束），结果装了 1.2.5 而不是 1.2.0。
使用场景：
- 修复某个已知 bug，必须用
1.3.1且不能升级到1.4.0 - 配合老项目 PHP 版本，只能用
~2.0兼容的包 - 测试一个预发布版，比如
dev-main或3.0.x-dev
版本约束写法要点：
-
"1.2.0"：精确锁定，不接受任何其他版本（包括1.2.0-patch1） -
"^1.2"：等价于=1.2.0 ，允许补丁和次版本升级 -
"~1.2"：等价于=1.2.0 ，只允许补丁升级 -
"dev-main"：安装开发分支，但会跳过稳定性检查（需配"minimum-stability": "dev"） -
"1.2.*"：模糊匹配，等价于>=1.2.0 ，但不推荐——语义不清，易被误解
为什么 composer update vendor/package 有时不生效
这不是命令本身有问题，而是 Composer 的更新逻辑取决于当前 composer.lock 和 composer.json 的状态。
常见错误现象：改了 composer.json 里的版本号，运行 composer update vendor/package 却没变，或者报 Nothing to install or update。
原因和应对：
-
composer.lock里该包的版本仍满足新约束（比如原来锁的是1.2.3，你改成^1.2，它就不动） - 没删
vendor/下对应包，导致 autoloader 缓存残留（可加--no-cache或手动清vendor/composer/autoload_*.php） - 包有依赖冲突，新版本要求更高 PHP 版本或其它包版本，而
composer update默认不强制解决（可试composer update vendor/package --with-dependencies）
性能影响：只更新单个包比全量 composer update 快，但若它带一堆子依赖变更，耗时未必少；建议先 composer show vendor/package 看当前解析出的实际版本。
稳定性和 minimum-stability 怎么配合用
Composer 默认只装 stable 版本。如果你要装 beta、RC 或 dev 分支，光写 "dev-main" 不够，还得调全局或包级稳定性策略。
容易踩的坑：
- 在
composer.json顶层设"minimum-stability": "dev"，会导致所有包都可能装不稳定版，引发意外 break - 只给某包设
"@dev"后缀（如"vendor/package":"dev-main as 1.2.0"），但没配"prefer-stable": true，可能让其它包也跟着降级 -
require-dev里用了dev-main，但 CI 环境跑composer install --no-dev就直接失败（因为require-dev被忽略，但它的依赖可能被主依赖间接引入）
推荐做法：
- 优先用
"prefer-stable": true+ 包级@beta后缀（如"vendor/package":"^2.0@beta"） - 真要 dev 分支，用
"dev-main#commit-hash"锁 commit，避免分支漂移 - 查看包支持哪些稳定性标识：
composer show -a vendor/package
如何验证最终装的是哪个版本
别只信 composer.json 或 composer.lock 里的字段，运行时加载的才是真实版本。
最直接方式：
-
composer show vendor/package：显示 name、version、source、dist 信息，其中 version 是实际解析出的版本（含-beta、+git后缀） -
cat composer.lock | jq '.packages[] | select(.name=="vendor/package") | .version'（需装 jq）：确认 lock 文件记录 - 在 PHP 里用
class_exists('SomeClassFromPackage')+new ReflectionClass('SomeClassFromPackage')->getFileName()定位物理路径，再看composer.json里version字段
容易被忽略的地方：
有些包在 composer.lock 里 version 字段写的是 dev-main，但实际代码来自某个 commit，这时 git log -1 进 vendor 目录才能看到真实 SHA；还有些包通过 install-path 自定义路径，版本信息可能不在标准位置。
版本约束只是声明意图，真正装什么，得看 lock 文件 + 当前环境 + 依赖图解结果。
