指定tag安装需显式加v前缀或引号，否则可能误装分支；require写tag不等于锁定，需改用"2.9.1"或"=2.9.1"禁用caret升级；验证须查composer.lock中reference是否为对应commit hash。
直接指定 Tag 安装是可行的，但要注意 Composer 默认优先解析为分支名而非标签，稍有不慎就会装错版本。
用 composer require 安装特定 Tag
Tag 在 Composer 中本质是 Git 引用，需显式加 v 前缀或完整写法才能准确命中（尤其当存在同名分支时）：
- 推荐写法：
composer require monolog/monolog:v2.9.1（带v前缀最稳妥） - 也可省略
v：composer require monolog/monolog:2.9.1，但前提是该仓库没有名为2.9.1的分支 - 若 Tag 名含破折号（如
v1.0-beta），必须加引号：composer require vendor/pkg:"v1.0-beta" - 执行后会写入
composer.json的require字段，值为"monolog/monolog": "^2.9.1"—— 注意：Composer 自动转成 caret 约束，不是锁死
如何真正锁死到某个 Tag（不升级）
仅靠 require 写 Tag 不等于锁定。下次运行 composer update 仍可能升到更高 patch 版本（如从 2.9.1 升到 2.9.2）。要彻底固定：
- 改用精确版本约束：
"monolog/monolog": "2.9.1.0"（末尾补.0可禁用 caret 行为） - 或用等号语法：
"monolog/monolog": "=2.9.1"（Composer 2.2+ 支持，严格匹配） - 更可靠的做法是先
composer require，再手动编辑composer.json，把生成的^2.9.1改成"2.9.1"（无符号），然后运行composer update monolog/monolog重装 - 确认是否锁死：检查
composer.lock中对应包的reference字段是否为该 Tag 对应的 commit hash，而非分支名
Tag 和 Branch 的优先级冲突怎么判断
当你运行 composer require vendor/pkg:dev-main 和 composer require vendor/pkg:main，结果可能完全不同 —— 因为 Composer 解析策略是：
- 如果输入看起来像分支（含
dev-、dev/、或未加v且仓库中存在同名分支），则按分支处理 - 如果输入匹配已知 Tag（如
v2.9.1或2.9.1），且该 Tag 存在、无同名分支，则按 Tag 处理 - 验证方式：运行
composer show vendor/pkg --all，观察输出中versions列表，Tag 会标为v2.9.1，分支标为dev-main；再对比你写的版本字符串是否明确落在 Tag 行里 - 最保险的调试命令：
composer depends --tree vendor/pkg+ 查看composer.lock，比凭感觉更准
Tag 安装表面简单，实际依赖 Git 引用解析、版本约束转换、lock 文件更新三者协同。最容易被忽略的是：你以为写死了 2.9.1，但 composer update 仍可能跳走 —— 根子在 composer.json 里没真正禁用语义化版本自动扩展。
