别搞混了：^ 不是波浪号，是插入符（caret），而 ~ 才是波浪号
先澄清一个最常见的误解：很多人搜索“Composer 波浪线”，其实想查的是 ^ 这个符号。但符号一旦写错，依赖解析的结果可能天差地别。举个例子，如果你本意是写 ^2.1.0，却不小心写成了 ~2.1.0，那么本该能顺利升级到 2.9.0 的包，就会被死死锁在 2.1.x 版本里。线上环境要是因此缺失了关键功能，排查起来可就头疼了。
^2.1.0 允许哪些版本？不是“差不多”，是数学区间
咱们得把概念弄清楚：^2.1.0 这个约束，在数学上等价于 >=2.1.0 <3.0.0。这意味着，所有 2.x 系列的版本，从 2.1.0 到 2.9.99，它都会放行，但会把 3.0.0 及以上的版本拦在门外。
不过，这里有个重要的特例。上面这个“锁定主版本”的规则，通常只对主版本号 ≥1 的包生效。一旦遇到 0.x 版本的包，规则就变了：^0.8.2 实际上等价于 >=0.8.2 <0.9.0。换句话说，它连 0.9.0 都不允许安装。这可不是 Composer 的 bug，而是语义化版本规范（SemVer）白纸黑字规定的：0.x 版本被视为初始开发阶段，其 API 随时可能变更，因此不具备向后兼容的承诺。
- 写
^1.2.3→ 可以安装1.9.9，但不会安装2.0.0 - 写
^0.8.2→ 可以安装0.8.10，但不会安装0.9.0（哪怕这个 0.9.0 版本只改了一个小功能） - 写
^2或^2.0→ Composer 会自动将其补全为^2.0.0，行为逻辑完全一致
为什么 ^2.1 和 ~2.1 行为差这么多？关键看“锁定起点”
这二者的区别，根源在于锁定的“维度”不同。^2.1.0 锁定的是“主版本号不变”，它信任语义化版本的承诺，认为在 2.x 这个大版本内，任何次版本和修订版本的升级都应该是向后兼容的。所以，它会允许升级到 2.2.0、2.8.0。
而 ~2.1.0 则保守得多，它锁定的是“次版本号不变”，只允许修订版本号（即最后一位）升级。这意味着，哪怕 2.2.0 版本实际上没有任何破坏性变更，它也会被无情拒绝。
^2.1.0：策略是“向前看”，基于对包维护者的信任，拥抱兼容性更新。~2.1.0：策略是“守阵地”，不轻易相信中间的小版本，只求在已知的 2.1.x 范围内稳定运行。- 一个典型的误用场景：某个 SDK 你只在 2.1.x 版本上做过完整测试，却写了
^2.1.0。结果 CI 环境安装了 2.7.0 导致报错。这时候，正确的做法是把约束改为~2.1.0，而不是去抱怨版本号“不守规矩”。
composer.json 写了 ^，但装的却是旧版本？先看 lock 文件和依赖树
这里有个关键事实：真正决定最终安装哪个具体版本的，往往不是 composer.json 里那个带 ^ 的约束表达式，而是 composer.lock 文件里记录的精确版本号。一旦 lock 文件存在，执行 composer install 命令时，Composer 会完全忽略约束表达式，直接安装 lock 文件中锁死的版本。
- 想查看实际安装的版本？别只盯着
composer.json，用这个命令：composer show vendor/package -i - 怀疑是其他依赖压低了版本？可以查看依赖树：
composer show -t | grep package，或者直接用命令检查冲突：composer prohibits vendor/package:2.8.0 - 在真正执行升级前，强烈建议先预览效果：
composer update --dry-run vendor/package，避免盲目操作。 - 至于删除 lock 文件再 install？除非你明确需要重新计算整个依赖关系图，否则这相当于放弃了项目的可重现性，风险不小。
PHP 自身版本也能用 ^，但平台配置不管用
这个技巧可能知道的人不多：在 composer.json 的 require 区块里，直接写 "php": "^8.1" 是完全合法且有效的。它等价于 >=8.1.0 <9.0.0，能有效阻止项目被安装到 PHP 9.0 的环境上。这对于那些强依赖 PHP 8.1 特定特性（比如某个 JIT 行为）或扩展 ABI 的项目来说，非常有用。
- 注意，这个约束应该写在
require里，而不是config.platform.php中。后者只是让 Composer “假装”环境满足某个 PHP 版本，并不进行真实校验。 - 也别把它写到
require-dev里，因为那只会约束开发环境专用的包，不影响运行时的依赖解析。 - 如果 CI 报错
Your requirements could not be resolved，先别慌。第一步，用php -v确认服务器真实版本；第二步，检查是否误删了 lock 文件，导致 Composer 重新解析时发现了版本冲突。
最后，分享一个最容易被忽略的要点：^ 符号所依赖的“向后兼容”承诺，其前提是对方真的严格遵守语义化版本规范来发布版本。现实是，很多小众包会把 0.x 版本当作稳定版来发，或者跳跃式地打 tag（比如从 0.8.2 直接跳到 1.0.0，但 API 其实没变）。在这种情况下，^ 的预期行为就会失效。所以，与其完全赌别人守规矩，不如养成一个好习惯：每次上线前，用 composer show -i 命令扫一眼所有包的真实安装版本，做到心中有数。
