<p>直接运行 composer install 即可按 composer.lock 安装旧版本；若 lock 文件丢失，需从 Git 历史恢复（如 git checkout HEAD~1 -- composer.lock），篡改 lock 文件易致校验失败。</p>
composer install 时如何强制还原到 composer.lock 记录的旧版本
直接运行 composer install 就行——它本来就不装新版本，只按 composer.lock 里写的版本拉取依赖。很多人误以为要“回滚”，其实是自己之前执行了 composer update，导致 composer.lock 被更新了。
所以关键不是“怎么回滚”，而是“怎么找回旧的 lock 文件”：
- 如果旧版
composer.lock还在 Git 历史里：git checkout HEAD~1 -- composer.lock（或对应 commit hash） - 如果本地删了、Git 也没提交过，但记得旧依赖名和大致版本，可手动编辑
composer.lock中对应包的version和dist/sha256字段（不推荐，容易校验失败） - 执行
composer install后，Composer 会校验composer.lock的完整性；若篡改过且 sha256 不匹配，会报错Invalid lock file. Corrupted.
composer update 想只降级某几个包，而不是全量更新
composer update 默认是升版逻辑，不支持“指定降级”。但它能通过显式指定包名 + 版本约束，实现事实上的降级效果：
- 先查当前装的是什么版本：
composer show vendor/package-name - 再执行：
composer require vendor/package-name:^2.5.0（假设你想退到 2.5 分支） - 注意：
require命令会改composer.json并更新composer.lock，等价于一次受控的 update - 如果目标版本已被
composer.json中其他依赖的约束排除（比如有冲突的 PHP 版本要求），Composer 会报your requirements could not be resolved，这时得先看composer why-not vendor/package-name:2.5.0
用 git reset 回退后 composer install 报 Root package 'xxx' cannot be found in the repository
这不是 Composer 的问题，是 Git 回退后，composer.json 里的 "name" 字段可能被删了或写错了——Composer 要求根项目必须有合法的 name（格式为 vendor/name），否则连解析都失败。
- 打开
composer.json，确认存在"name"字段，且值不是空、不是纯数字、不含非法字符（如大写字母、下划线） - 常见错误值：
"name": "myapp"（缺 vendor 部分）、"name": "MyApp"（含大写）、"name": "" - 修复后，再跑
composer install，就不会卡在这一步了
为什么 composer install 有时还是装了新版本？
表面是 install，实际可能是“假装 install”的 update——因为 composer.lock 里记录的某个包，其 dist 包在 Packagist 上已被移除（比如作者删库、版本被 yank），Composer 会自动 fallback 到 source 安装，并顺手升级到该包最新的可用版本。
- 现象：没动
composer.lock，但vendor/里某包版本变了，且composer show显示版本号高于 lock 文件记录 - 验证方式：
composer show -s vendor/package-name，看输出里是否含source（而非dist） - 解决办法：换镜像源（如阿里云、腾讯云）、或联系包作者恢复 dist、或锁定更老的稳定版本（加
@stable后缀）
最麻烦的情况是 lock 文件本身被不同平台生成过（Windows/Mac/Linux），换行符或 JSON 格式差异导致哈希校验失败，最终触发重装——这种问题不会报错，但行为不可控，建议统一用 Unix 换行 + 标准缩进保存 composer.lock。
