直接修改 composer.json 的 version 字段不生效，因 composer install 只读取 composer.lock；须用 composer require vendor/package:version –with-all-dependencies 触发重解析并同步更新 json 与 lock 文件。
直接改 composer.json 的 version 字段不生效
很多人以为把 composer.json 里某个包的版本号从 "monolog/monolog": "^2.8" 改成 "^1.27"，再运行 composer install 就能回退——但实际不会。因为 composer install 只读取 composer.lock，不会重新解析 composer.json 的版本约束。必须触发依赖重解析。
正确回退方式：用 composer require 指定版本 + --with-all-dependencies
这是最安全、可复现、且保留依赖兼容性检查的操作。它会更新 composer.json、重新计算依赖树、生成新 composer.lock。
- 执行
composer require vendor/package:1.27.0 --with-all-dependencies（例如：composer require monolog/monolog:1.27.0 --with-all-dependencies -
--with-all-dependencies是关键：否则可能因子依赖冲突被拒绝，或只降级顶层包而留下高版本子依赖 - 如果要降级到某个版本范围（如
^1.25），写成composer require monolog/monolog:^1.25 --with-all-dependencies - 执行后会自动修改
composer.json和composer.lock，无需手动编辑
手动改 composer.json 后必须用 composer update（不是 install）
如果你已手动编辑了 composer.json 中的版本约束，下一步只能是 composer update，且推荐限定范围以避免意外升级其他包：
- 只更新目标包：
composer update vendor/package（例如：composer update monolog/monolog） - 同时更新其传递依赖（更稳妥）：
composer update vendor/package --with-dependencies - 绝对不要运行
composer update不带参数——这会刷新整个锁文件，可能引入大量非预期变更 - 注意：
composer update会忽略composer.lock中原有记录，完全按composer.json重算，所以务必确认修改后的版本约束是明确且兼容的
回退失败常见报错和应对
典型错误如：Conclusion: don't install vendor/package 1.27.0 或 Root composer.json requires vendor/package ^1.27, found vendor/package[2.0.0, ..., 2.10.0] but it conflicts with your root composer.json require (^1.27)。
- 本质是当前项目其他已装包（或 php 版本）与目标旧版本不兼容
- 先运行
composer why-not vendor/package:1.27.0查看哪个依赖在阻止安装 - 可能需要同步降级那个依赖，或临时放宽 PHP 版本要求（检查
config.platform.php设置） - 极端情况下可加
-W（--with-all-dependencies简写）强制尝试，但要仔细核对输出的依赖变更列表
composer require monolog/monolog:1.27.0 --with-all-dependencies 依赖版本不是文本替换游戏；composer.lock 才是真实快照。改 json 不同步 lock，等于没改。最容易被忽略的是：不加 --with-all-dependencies 或 --with-dependencies 时，Composer 默认只管顶层包，旧版包里引用的新版子依赖仍会残留。