指定精确版本需用等号：composer require monolog/monolog=2.1.0，可锁定exact版本；冒号语法会被误判为分支，含字母版本须加引号，^或~会允许小版本升级，非精确匹配。
composer require 怎么指定精确版本号
想装 v2.1.0 就是 v2.1.0，不多不少，不自动升级到 v2.1.1 或 v2.2.0 —— 直接在包名后加 = 号加版本号即可。
-
composer require monolog/monolog=2.1.0：强制锁定为该 exact 版本，composer.lock里写死，后续install不会漂移 - 别用
^2.1.0或~2.1.0，它们允许小版本/补丁升级，不是“精确” - 如果包已存在，
require会尝试升级；加--no-update可先写入composer.json再手动update - 注意：PHP 版本、扩展依赖可能让精确版本安装失败，错误信息常是
Your requirements could not be resolved
为什么 composer require foo/bar:dev-main 有时装不上
因为 dev-main 是分支名，不是稳定版本，Composer 默认只允许安装 stable 级别包（RC、beta 等都不行），除非显式放宽稳定性策略。
- 加
--stability=dev：如composer require foo/bar:dev-main --stability=dev - 或改
composer.json的"minimum-stability"为"dev"，再require - 更安全的做法是用
dev-main as 999.999.999别名，避免影响其他包的稳定性判断 - 注意：分支引用不会生成
composer.lock中的 commit hash，下次install可能拉到新提交，不适合生产环境
composer require 带版本约束时的常见错误现象
输入命令后报错、装了别的版本、或者根本没反应 —— 多半是约束语法写错或 Composer 自动做了“兼容性降级”。
- 写成
foo/bar:2.1.0（冒号）而不是foo/bar=2.1.0（等号）：前者会被当分支/别名处理，可能拉2.x-dev - 版本号含字母却没加引号：
composer require vendor/pkg=v1.0.0-RC1在 shell 中可能被截断，应写成'vendor/pkg=v1.0.0-RC1' - 用了
^却以为是精确匹配：例如^2.1.0允许2.9.9，但不允许3.0.0；它等价于>=2.1.0 - 运行后发现
composer.json里写的是"^2.1"而非你输的完整版本：这是 Composer 的默认简化行为，不影响实际安装，但可加--no-plugins或配置"version" : "2.1.0"手动覆盖
生产环境该不该用精确版本 + = 语法
应该，但得配合 lock 文件和 CI 流程，否则反而埋坑。
- 精确版本能杜绝意外升级，尤其对有 BC Break 的包（比如 Laravel major 升级、Doctrine 行为变更）
- 但仅靠
=不够：必须提交composer.lock，且部署时用composer install（不是require或update） - CI 中建议加
composer validate --strict检查composer.json是否含未加约束的包（如漏写版本号） - 容易被忽略的一点：PHP 自身版本变动可能导致同一
composer.lock在不同 PHP 上解析出不同依赖树，所以platform配置要对齐