最可靠回滚方式是显式重装目标版本：先查历史版本，再执行composer require vendor/package:1.2.3 –with-all-dependencies，随后清空vendor并composer install；直接编辑composer.lock或仅用composer update –lock均不可靠。
直接用 composer require 锁定旧版本
Composer 没有“回滚”命令，但最可靠的方式是显式重装目标版本。这会覆盖 composer.lock 并更新依赖树，同时触发自动 autoload 重建。
- 先查历史版本：
composer show vendor/package看可用版本，或翻composer.lock找之前用的version字段 - 执行安装：
composer require vendor/package:1.2.3 --with-all-dependencies（加--with-all-dependencies防止冲突时静默跳过） - 如果该包是 root require，不加
--with-all-dependencies可能因子依赖约束失败；加了则强制协调整个依赖图
手动改 composer.lock 是高危操作
有人想直接编辑 composer.lock 回填旧哈希和版本号——这几乎一定会导致 autoload 错误或运行时类找不到。
-
composer install读composer.lock下载包，但不会校验其与composer.json的逻辑一致性 - 删掉
vendor/后只跑composer install，若composer.lock里某个包的dist.shasum和实际 zip 不符，Composer 会静默重新下载最新版 - 真正生效的前提是：你手改的 lock 文件必须和某次真实
composer update输出完全一致，且所有包源（Packagist / 私服）仍提供对应 zip
用 git 还原 composer.lock 最安全
如果你的项目 commit 过 composer.lock（应该如此），回退依赖本质就是还原一个已知可工作的状态。
- 找上次好用的 commit：
git log --oneline -n 20 -- composer.lock - 还原 lock 文件：
git checkout abc1234 -- composer.lock - 再清 vendor 重装：
rm -rf vendor && composer install - 注意：别漏掉
composer install—— 仅还原 lock 不会重装代码，vendor/里可能还残留新版本文件
为什么 composer update --lock 不行？
这个命令只重生成 lock 文件，不修改 composer.json，也不会降级已安装的包，它只做“同步”，不是“回退”。
- 它等价于
composer update --dry-run+ 写 lock，实际vendor/完全不动 - 如果你已经
require了新版，--lock不会把你拉回来；它只会让 lock “看起来”和 json 一致，但 vendor 是脏的 - 真要靠它生效，前提是：你还没运行过
composer install或require，只是改了 json 后想预生成 lock
依赖版本不是 git commit，不能靠命令一键倒带；关键在于你有没有把 composer.lock 当作可追溯的部署凭证来管理。没提交 lock 的项目，所谓“回滚”其实是在猜上次到底装了什么。