在 composer 项目中，防止包被意外升级的最直接方式是将 composer.json 中该包版本号设为精确值（如 “2.8.2”），并确保 composer.lock 文件存在且已提交至版本库，执行 composer install 即可严格锁定版本。
在 Composer 项目中，要防止某个包被意外升级，最直接有效的方式是在 composer.json 中明确指定该包的精确版本号（带 ^、~ 或其他运算符的约束会允许更新），并配合 composer.lock 文件固化依赖状态。
用固定版本号替代版本约束
Composer 默认使用语义化版本约束（如 "monolog/monolog": "^2.0"），这允许安装 2.x 的任意兼容版本。若想彻底锁定，需改为不含运算符的精确版本：
- ❌ 不推荐（允许更新）：
"monolog/monolog": "^2.8"或"monolog/monolog": "~2.8" - ✅ 推荐（完全锁定）：
"monolog/monolog": "2.8.2"或"monolog/monolog": "2.8.2 as 2.8.0"（后者用于版本别名场景）
修改后运行 composer update monolog/monolog，Composer 将只安装且仅保留该确切版本，并更新 composer.lock。
利用 composer.lock 强制保持现状
composer.lock 是 Composer 的“依赖快照”。只要它存在且未被删除或手动修改，composer install 总是安装 lock 文件中记录的**确切版本**，无论 composer.json 中写的是什么约束。
- 团队协作时，务必提交
composer.lock到版本库 - 执行
composer install（而非update）即可复现锁定状态 - 若误删了 lock 文件或想恢复历史锁定，可从 git 检出旧版 lock 文件再 install
禁止全局更新特定包（进阶控制）
当需要长期锁定某包，但又不想每次手动改 composer.json，可用以下方式降低误操作风险：
- 设置
"minimum-stability": "stable"和"prefer-stable": true，减少非稳定版干扰 - 使用
composer prohibit插件（需安装dealerdirect/composer-plugin-versions等第三方插件）实现策略级拦截（非原生功能） - CI/CD 流程中加入检查：比对当前
composer.lock与上一版本，若目标包版本变动则中断构建
验证是否真正锁定成功
锁定不是写完就完事，建议通过以下方式确认：
- 运行
composer show monolog/monolog，查看已安装版本是否与预期一致 - 执行
composer update --dry-run monolog/monolog，观察输出是否提示“Nothing to install or update” - 检查
composer.lock中对应包的version字段是否为精确值（如"2.8.2"），而非带-dev或+git后缀的开发版