composer update 是按 composer.json 约束重装依赖的指令，不跨主版本升级、不自动修复冲突，需人工判断；旧版因版本约束（如 "^2.0" 阻止升 3.0）所致，升主版本须手动改约束并更新。
composer update 不是“一键升级所有包”的安全按钮，而是按 composer.json 约束重新计算依赖图的**重装指令**——它不会跨主版本升级，也不会自动修复冲突，更不能代替人工判断。
为什么 composer update 后某个包还是旧版？
这不是命令失效，是 composer.json 里的版本约束卡死了。比如写的是 "monolog/monolog": "^2.0"，哪怕 3.0 已发布，Composer 绝对不会装，因为它不敢破坏兼容性。
- 常见现象：
composer show monolog/monolog显示 2.9.1，而官网已发 3.0.0 - 查原因：运行
composer outdated，带!标记的表示有主版本可升，但当前约束不允许 - 真想升主版本（如 2→3）：必须手动改
composer.json中对应行，比如把"^2.0"改成"^3.0"，再执行composer update monolog/monolog - 别漏锁文件：改完后
composer.lock一定会变，记得提交，否则队友composer install还是旧版
只更新一个包，为什么子依赖没动？
默认行为就是如此：composer update vendor/package-name 只更新该包本身，不碰它的子依赖（比如 guzzlehttp/guzzle 依赖的 psr/http-message 还卡在 1.0.1）。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 安全场景：修一个安全漏洞，又不想牵连整个依赖树 → 用
composer update guzzlehttp/guzzle - 要连带更新直系依赖：加
--with，例如composer update guzzlehttp/guzzle --with psr/http-message - 要彻底更新整棵依赖树（含子依赖的子依赖）：用
--with-all-dependencies，例如composer update guzzlehttp/guzzle --with-all-dependencies - ⚠️ 注意：
--with-dependencies在 Composer 2.2+ 已被彻底移除，执行会直接报错Unrecognized option: --with-dependencies
能不能自动更新全部包？风险在哪？
能，composer update 默认就全量更新，但它只升到满足约束的最新兼容版，不是“所有包都拉最新主版本”。盲目运行等于把决策权交给算法，容易翻车。
- 生产环境禁止无差别执行：
composer update可能悄悄升级symfony/console小版本，导致队列命令参数变更而静默失败 - 推荐做法：先
composer update --dry-run看影响范围；再git diff composer.lock审查 SHA 变更 - CI/CD 中更稳妥：用 GitHub Actions 触发，更新后强制提交
composer.lock，并在.gitattributes加composer.lock text eol=lf避免换行符差异 - 别用
composer install替代 —— 它只照 lock 装，根本不会拉新版本
升级失败报 “Your requirements could not be resolved” 怎么办？
这是典型的依赖冲突，不是网络或权限问题。Composer 在告诉你：几个包的版本要求互相打架，没有共同解。
- 看报错里具体哪两个包冲突，比如
package-a v1.2 requires package-b ^3.0，但package-c v4.0 requires package-b ^4.0 - 查谁拦着升级：
composer why-not vendor/package-name:4.0.0 - 临时放宽约束：把
"symfony/console": "^6.0"改成"^5.4 || ^6.0"再试 - 慎用
--ignore-platform-reqs：它绕过 PHP 版本和扩展检查，可能装上根本跑不起来的包 - 升级后类找不到？大概率是 autoload 没刷新 → 立刻补一句
composer dump-autoload -o
最麻烦的从来不是命令怎么写，而是你有没有看清 composer.json 的约束、有没有审过 composer.lock 的变更、有没有验证升级后的真实行为——这些地方一漏，composer update 就从维护工具变成事故开关。
