Composer 不支持 SQL 风格的 % 或正则匹配，但可通过版本约束（如 *、~、^、>=）实现通配符式版本匹配，核心是声明版本范围而非搜索包名。
composer install 时如何用通配符匹配包版本
Composer 不支持 SQL 风格的 % 或正则式模糊匹配，但通过 version constraint（版本约束）机制，可以实现等效的“通配符式”安装。关键不是搜索包名，而是声明你想要哪个范围的版本。
支持的通配符语法：*、~、^、>=、
这些符号不是 shell 通配符，而是语义化版本（SemVer）的比较规则，直接影响 composer install 选哪个 dist 包、是否升级、能否兼容。容易误以为 ^1.2.* 能匹配 1.2.5 和 1.2.99 —— 实际上它等价于 >=1.2.0 ，而 * 只在末尾有效（如 1.2.*），且仅用于 require 声明，不用于 composer search。
-
1.2.*→ 允许1.2.0到1.2.999，但不会升到1.3.0 -
^1.2.3→ 允许1.2.3到1.999.999（即>=1.2.3 ） -
~1.2→ 等价于>=1.2.0 ，比^更保守 -
*单独用（如"monolog/monolog": "*"）→ 安装最新稳定版，但受minimum-stability限制 -
dev-main或dev-develop→ 安装对应分支的最新提交，不是通配符，但常被误当作“模糊匹配”用
为什么 composer search 不支持通配符？
composer search 是调用 Packagist API 的关键词查询，只支持子字符串匹配（如 composer search log 返回所有含 log 的包名），不解析版本号，也不接受 * 或 ~。想查某个包有哪些可用版本，得用：
composer show monolog/monolog --all或直接访问 https://www.php.cn/link/6daab15a4f57549b7f236d7f0cfca3c8 页面看
versions 标签页。
实际安装时最易踩的坑：* + minimum-stability + require-dev
写 "phpunit/phpunit": "*" 看似简单，但若项目 minimum-stability 是 stable，而 PHPUnit 最新版是 dev 或 beta，就会报错 Could not find package。更危险的是，* 在 require-dev 中可能拉下不兼容的主版本（比如 phpunit 从 9.x 升到 10.x，而你的测试代码用了已移除的 assertArraySubset）。
- 生产环境慎用
*，明确写^9.6或~9.5.0 - 执行
composer require "foo/bar:1.2.*"后，立刻运行composer show foo/bar确认装的是不是你预期的版本 -
composer update foo/bar会按composer.json里写的约束重新解析，不是“升级到最新”，这点和 npm 不同
版本约束看着像通配符，其实是契约。写宽了，下次 composer update 可能悄无声息地引入 break change；写死了，又难维护。真正需要“模糊”的时候，通常该换思路：用 composer show --all 找版本，再手工挑一个带 ^ 或 ~ 的安全区间。
