锁定 Composer 依赖版本需依靠 composer.lock 文件和严格的版本约束。① composer.lock 记录所有依赖精确版本，执行 composer install 时按此文件安装，避免自动更新，应将其提交至版本控制系统；② 在 composer.json 中应避免使用 ^1.0、* 等宽松约束，推荐使用 1.2.3 精确锁定或 ~1.2.3 仅允许补丁更新，以防止意外升级引入不兼容问题。
要锁定 Composer 依赖版本，防止自动更新，核心方法是通过 composer.lock 文件和合理配置 composer.json 中的版本约束。
理解 composer.lock 的作用
Composer 安装或更新依赖后会生成 composer.lock 文件，它记录了当前项目所有依赖及其子依赖的具体版本（精确到修订号）。
只要这个文件存在且不运行 composer update，执行 composer install 就会安装 lock 文件中指定的版本，不会自动更新。
建议：将 composer.lock 提交到版本控制系统（如 Git），确保团队成员和生产环境安装完全一致的依赖。
使用精确或保守的版本约束
在 composer.json 中定义依赖时，避免使用过于宽松的版本号，例如：
- ^1.0 — 允许更新到 1.x 最新版，可能引入不兼容变更
- * 或留空 — 允许任意版本，风险极高
推荐写法：
- 1.2.3 — 锁定具体版本，完全禁止更新
- ~1.2.3 — 允许补丁级别更新（如 1.2.4），但不升级小版本
- >=1.2.3 — 明确范围，避免大版本跃迁
若你希望完全禁止某个包被更新，直接写死版本号是最稳妥的方式。
避免意外更新的操作习惯
日常开发中注意区分 install 和 update 命令：
-
composer install— 优先读取 lock 文件，不更新依赖 -
composer update— 忽略 lock 文件，按 composer.json 重新解析最新匹配版本
除非明确需要升级依赖，否则只运行 install。CI/CD 和生产部署应始终使用 install 保证环境一致性。
额外控制：禁用特定包更新
如果你只想锁定某些关键包，可用以下方式：
运行 composer require vendor/package:1.2.3 指定版本，之后不要对它单独执行 composer update vendor/package。
也可通过 composer config platform-check false 等配置减少自动变动，但最根本仍是版本约束 + lock 文件管理。
基本上就这些。关键是用好 lock 文件，写明版本范围，规范使用 install 与 update 命令。这样就能有效防止依赖意外升级。
