composer默认为无前缀版本号自动添加^约束，故”2.8.0″等价于”^2.8.0″（允许2.8.0–2.999.999），需用”=2.8.0″锁死；^放小版本，~仅放补丁；排除版本用逗号组合如”>=2.0,
composer 默认不是“装你写的那个版本”，而是按隐式规则自动放宽——想限制版本范围，必须主动用对约束符号，否则看似写了 "2.8.0"，实际却可能装上 2.9.1。
为什么写 "2.8.0" 还会升级？
因为 Composer 默认给没加前缀的版本号自动加上 ^（插入符）约束。写 "monolog/monolog": "2.8.0" 等价于 "^2.8.0"，即允许安装 2.8.0 到 2.999.999 之间任意版本，只要不跨主版本（3.0.0）。这不是 bug，是设计使然——它默认追求“安全更新”。
- 真正锁死精确版本，必须显式写
"=2.8.0"或更稳妥的"==2.8.0" - 如果只改了
composer.json却没运行composer update monolog/monolog，composer.lock仍会强制沿用旧版本 -
composer install永远以composer.lock为准，它不看composer.json里新写的约束
^ 和 ~ 的区别：一个敢升小版本，一个只敢升补丁
这是最常混淆的一对。它们都做“上限控制”，但“松紧程度”完全不同：
-
^2.8.0→ 允许2.8.0到2.999.999（小版本和补丁全放开），等价于>=2.8.0 -
~2.8.0→ 只允许2.8.x，比如2.8.1、2.8.15，但拒绝2.9.0；等价于>=2.8.0 -
~2.8（缺补丁位）→ 等价于>=2.8.0 ，行为反而接近 <code>^2.8，语义不如~2.8.0明确
所以，如果你依赖某个包的 2.8.x 特有行为（比如某 API 在 2.9.0 被标记 deprecated），就该用 ~2.8.0，而不是 ^2.8.0。
怎么排除已知有问题的版本？
用逗号组合多个约束，实现“与”逻辑。比如你想用 monolog/monolog 的 2.x 系列，但已知 2.5.0 有严重日志丢失 bug，就不能靠运气躲开——得明说：
"monolog/monolog": ">=2.0, <3.0, !=2.5.0"这条约束会被 Composer 严格解析为“大于等于 2.0 且小于 3.0 且不等于 2.5.0”。
- 多个条件用英文逗号分隔，空格可选，但不能换行
- 不支持
&&或AND关键字，只认逗号 - 排除操作符
!=只能用于具体版本，不能写!=2.5.*（语法错误）
私有包或 git 仓库怎么指定 tag 或 commit？
当包不在 Packagist，而是通过 Git URL 引入时，Composer 不走 SemVer 解析，而是直接把版本字段当 Git ref 名来用：
-
"myorg/lib": "v1.2.0"→ 必须是仓库中真实存在的 tag，否则报Could not find package -
"myorg/lib": "dev-main"→ 拉取main分支最新提交，无版本保障，CI/CD 中慎用 -
"myorg/lib": "dev-feature/login#abc1234"→ 指定分支 + 提交哈希，适合临时调试 - 切记：不能对 Git 包写
^1.2.0或~1.2.0，这些约束只对 Packagist 上的语义化版本有效
版本约束不是越死越好，但也不是越宽越省心——关键在理解每个符号的真实边界。很多人卡在“明明写了 2.8.0 却装了 2.9.1”，问题往往不出在命令，而出在没意识到 Composer 从不照字面执行，它永远在按规则推演。