Composer将依赖项更新到较旧的版本

Question

我在项目中定期运行composer update ，然后检查更新了哪些依赖项。 但是今天我注意到一个奇怪的输出：

Loading composer repositories with package information
Updating dependencies (including require-dev)
Package operations: 0 installs, 2 updates, 0 removals
  - Updating phpdocumentor/type-resolver (0.4.0 => 0.3.0): Downloading (100%)
  - Updating phpdocumentor/reflection-docblock (3.2.0 => 3.2.1): Downloading (100%)
Writing lock file

您可以看到phpdocumentor / type-resolver软件包已从0.4.0降级到0.3.0，尽管该命令是update 。 这是正常现象还是漏洞或其他原因？

Answer 1

看来我找到了答案。 它是在此提交中：将phpdocumentor / type-resolver降级到0.3

In order to restore a bc break made in 3.2.0 I downgraded the type-resolver. This makes the version less compatible with php 7.1 But will help our users to upgrade.

的确，phpdocumentor / type-resolver是phpdocumentor / reflection-docblock的依赖项，其维护者故意降级了type-resolver。 所以一切正常。 这不是作曲家的错误。 这只是我第一次看到这样的行为，这就是为什么我发现它很奇怪。