精确安装指定版本需用 composer require vendor/package:=1.2.3（= 强制精确匹配），若已存在包则须先 composer remove 再安装，并通过 composer.lock 的 version 字段、composer show 输出及 source.reference 核验是否真实安装。
composer require 怎么指定精确版本号
直接写死版本号，不加任何修饰符，composer require vendor/package:1.2.3 就是精确安装 1.2.3 —— 但前提是该版本真实存在、未被标记为 abandoned，且与当前项目 PHP 版本和已装包无冲突。
常见错误现象：composer require monolog/monolog:2.9.0 执行后却装了 2.9.1？那是因为你本地已存在 monolog/monolog，Composer 默认走更新逻辑，而非重装。解决方法只有一个：先删再装。
- 先运行
composer remove monolog/monolog（或手动删vendor/monolog/monolog+ 清composer.lock中对应项） - 再执行
composer require monolog/monolog:2.9.0 - 检查
composer.lock，确认version字段确实是"2.9.0"，不是"2.9.0 as 2.9.1"这类 alias
为什么用 =1.2.3 比直接写 1.2.3 更可靠
= 是 Composer 的“精确匹配运算符”，它会强制忽略所有语义化版本的隐式规则（比如 ^ 或 ~ 的默认行为），连 dev- 分支或 1.2.3+git123 这类带元数据的版本也会被严格排除。
使用场景：CI 构建、安全审计、复现线上 bug 时，必须锁定到某次 commit 对应的 exact tag，不能接受任何“看似相同实则不同”的构建产物。
-
composer require guzzlehttp/guzzle:=7.8.1→ 只认7.8.1，不接受7.8.1-patch1 -
composer require laravel/framework:=10.48.5→ 即使10.48.6已发布，也不会升级 - 注意：
=后不能有空格，:= 7.8.1会报错
安装失败常见原因和绕过方式
即使写了精确版本，composer require 仍可能失败，核心原因是依赖图冲突，不是版本号本身问题。
典型错误信息：Your requirements could not be resolved to an installable set of packages.
- 检查
composer show vendor/package 1.2.3是否返回结果——若无，说明该版本未发布或已被移除 - 运行
composer why-not vendor/package:1.2.3查看哪个已装包在阻止安装 - 临时降级 PHP 版本约束：修改
composer.json中"php"行，比如从^8.2改成^8.1再试 - 慎用
--ignore-platform-reqs：它跳过 PHP 和扩展检查，可能导致运行时报错，仅用于调试
require 后怎么验证是否真装对了
别只信终端输出的 “Installing…”，它可能只是缓存命中或软链接。真正要看的是三处：
-
composer show vendor/package输出的versions行，必须含1.2.3且前面没标*（表示当前激活） -
cat composer.lock | jq '.packages[] | select(.name == "vendor/package") | .version'（需装jq），结果必须是"1.2.3" -
ls -la vendor/vendor/package看目录名，Composer 有时会用1.2.3.x-dev命名，但只要composer.lock里 version 对，就 OK
最容易被忽略的是 lock 文件里的 source 字段：如果它是 "type": "git" 且 "reference" 是某个 commit hash，那说明实际装的是源码快照，不是 tag —— 这种情况即使写 :1.2.3 也可能被解析为最近的 matching commit，得配合 --prefer-dist 强制走 zip 包
