Composer无全局禁更开关，需用精确版本号锁定（如"2.85.0"）实现可靠控制；replace可声明虚拟包阻止安装；update命令不支持--exclude，须手动指定待更新包；稳定性依赖团队约定与CI检查。
Composer 本身不提供“全局禁止更新某包”的开关，但可以通过 composer.json 中的 "prefer-stable"、"minimum-stability" 和更关键的 "version lock"（即固定版本号）实现精准控制。真正起效的是显式写死版本约束，而非依赖配置项“屏蔽”更新。
用精确版本号锁定包，避免任何自动升级
这是最可靠、最常用的方式：把包的版本号写成不含运算符的纯数字（如 "2.8.1"），Composer 就只接受该确切版本，连 composer update vendor/package 都不会拉新版本。
- 写法示例：
"nesbot/carbon": "2.85.0"
—— 不带^、~或* - 如果已有带
^的记录（如"^2.60"），运行composer update nesbot/carbon --with-all-dependencies后再手动改回纯版本号并删掉vendor/和composer.lock中对应条目，否则 lock 文件仍可能保留旧解析逻辑 - 注意：使用纯版本号后，
composer outdated仍会提示有更新，但composer update不会应用——这是预期行为，不是失效
用 replace 段声明虚拟包阻止冲突性安装
当某个包被另一个包“替代”（比如你用自研 fork 替代原版），或你想彻底阻止某包进入依赖图时，"replace" 可以让 Composer 认为该包“已存在”，从而跳过安装和更新。
- 在
composer.json的根级添加："replace": { "monolog/monolog": "*" } - 这不会卸载已安装的
monolog/monolog，但后续composer require其他依赖若需它，Composer 会认为“已满足”，不再尝试安装或升级 - 风险点：如果项目实际仍用到该包功能，而你又没提供兼容实现，运行时会报
Class not found——replace是语义承诺，不是屏蔽开关
用 composer update 的 --with 和排除参数精细控制范围
日常维护中，常需更新大部分包，但跳过几个关键包（如 Laravel 核心或数据库驱动）。这时不用锁死版本，而是靠命令行临时排除：
- 排除单个包：
composer update --with-all-dependencies "laravel/framework" "illuminate/database"
—— 注意：这不是“排除”，而是明确指定只更新这些，其余不动；所以更适合“只更新这几个”场景 - 真正排除：用
composer update --dry-run看出哪些会变，再用composer update vendor/a vendor/b ...列出所有想更新的包，漏掉不想动的即可 - 没有
--exclude vendor/x这种语法；强行绕过只能靠 shell 脚本过滤composer show --outdated输出，再拼接命令 —— 不推荐，易错且不可复现
最易被忽略的一点：即使锁了版本，只要有人执行 composer require vendor/package:dev-main 或手动改了 composer.json 再 install，锁就失效。真正的稳定性依赖团队约定 + CI 检查 composer.json 是否含通配符，而不是指望 Composer 自己“拒绝升级”。
