为什么composer降级了我的包

Question

php composer.phar update做到了这一点（删除了2.3.0包并安装了整个2.2.5 Zend框架）：

$ php composer.phar update
Loading composer repositories with package information
Updating dependencies (including require-dev)
  - Removing zendframework/zend-filter (2.3.0)
  - Removing zendframework/zend-view (2.3.0)
  - Removing zendframework/zend-eventmanager (2.3.0)
  - Removing zendframework/zend-loader (2.3.0)
  - Removing zendframework/zend-escaper (2.3.0)
  - Removing zendframework/zend-log (2.3.0)
  - Removing zendframework/zend-servicemanager (2.3.0)
  - Removing zendframework/zend-stdlib (2.3.0)
  - Installing zendframework/zendframework (2.2.5)
    Loading from cache
Writing lock file
Generating autoload files

它为什么这么做？我的composer.json看起来是这样的，没有任何指示上述事件过程的内容：

"repositories":[
    {
        "type":"composer",
        "url":"https://packagist.org/"
    },
    {
         "type":"composer",
         "url":"http://packages.zendframework.com/"
    }
],
"require": {
    "zendframework/zend-log" : "2.*",
    "zendframework/zend-escaper" : "2.*",
    "zendframework/zend-filter" : "2.*",
    "zendframework/zend-view" : "2.*"
}

我的期望是：删除2.3.0，安装2.3.1包

Answer 1

我的回答并没有完全描述为什么它被降级，因为Composer中的算法非常密集（这就是为什么update比install使用.lock花费更长的时间）。它们会遍历您的所有依赖项，所有潜在版本，以及每个依赖项的"版本"依赖项是什么。在得到所有这些信息后，它试图找到一个"完美"的匹配。

有时，您的依赖项或依赖项的依赖项中最细微的变化都会产生剧烈的变化。此外，您有时会发现不可能解决依赖项，因为一个依赖项可能需要symfony/http-foundation ~2.5，另一个可能需要symfony/http-foundation 2.1.*（您的情况并非如此，但很高兴知道）。

总而言之，这个故事的寓意是，你应该尽可能具体地使用composer.json（尤其是在制作中）。这样，你就可以随时控制你使用的版本，而不是让Composer来决定。更糟糕的情况是，您运行composer update，它无法解决您的依赖关系。然后对Packagist进行一些研究，看看哪些版本会很乐意一起解决。

我建议使用~2.3（与>= 2.3和< 3相同）或2.3.*。那么Composer甚至不会尝试2.2.5版本。查看Composer的文档，了解如何表达不同的包版本。