使用精确版本号如"2.9.0"或稳定约束如"2.9.*"，避免^/~浮动符号，配合提交composer.lock文件并禁止随意执行composer update，即可锁定包版本。
在 Composer 中，如果你希望锁定某个包的版本，不让它在执行 composer update 时被升级，最直接有效的方法是通过 版本约束 和 composer.lock 文件的配合来实现。以下是具体做法：
1. 使用精确版本号或稳定版本约束
在 composer.json 中，为你要锁定的包指定一个不会自动升级的版本格式。
monolog/monolog 的 2.9.0 版本，可以这样写：
"require": {
"monolog/monolog": "2.9.0"
}
使用精确版本（如 2.9.0）意味着 Composer 只会安装这个特定版本，不会更新到任何其他版本，包括补丁版本（如 2.9.1）。
如果你希望允许安全补丁但不升级小版本，可以用：
"monolog/monolog": "2.9.*"
2. 不要使用浮动版本（如 ^ 或 ~）
避免使用 ^2.9.0 或 ~2.9.0 这类“浮动”约束，因为它们允许 Composer 在执行 update 时自动升级到兼容的更高版本。
-
^2.9.0允许升级到 2.10、2.11，直到 3.0 之前 -
~2.9.0允许升级到 2.9.9，但不会到 2.10
3. 利用 composer.lock 文件
当你运行 composer install 时，Composer 会读取 composer.lock 文件并安装完全相同的版本。只要你不运行 composer update，锁文件就能保证依赖不变。
composer.lock 提交到版本控制中，并提醒团队成员不要随意运行 composer update。
4. （可选）使用 platform config 屏蔽特定包更新
Composer 没有原生的 “--lock” 参数来禁止某个包更新，但你可以通过脚本或 CI 配置来防止意外升级。
例如，在 CI 脚本中检查composer.json 和 composer.lock 是否一致，或者使用 composer prohibits 来验证是否有冲突。
基本上就这些。关键在于：用固定版本号 + 提交 lock 文件 + 避免浮动约束，就能有效锁定包版本。
