标红的包表示当前安装版本低于最新稳定版且存在非补丁级更新（如次版本或主版本），composer 默认仅标出可能含破坏性变更的更新。
composer outdated 显示的包为什么有些标红？
标红的包表示当前安装的版本低于最新稳定版，且存在语义化版本（SemVer）意义上的「非补丁级更新」——比如从 v2.1.0 升级到 v2.2.0（次版本）或 v3.0.0（主版本）。Composer 默认只标出可能含破坏性变更的更新，不是所有新版本都标红。
实操建议：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 加
--minor-only只看次版本更新（跳过主版本），减少干扰 - 加
--direct仅检查composer.json中直接声明的包，忽略依赖树里的间接依赖 - 加
-f json输出结构化 JSON，方便脚本解析（比如 CI 中自动告警）
为什么 composer outdated 没列出某些明显有新版的包？
常见原因是这些包的版本约束太宽（如 "monolog/monolog": "^2.0"），而你本地已装的是 v2.10.0，最新是 v2.11.0，但 Composer 认为当前版本仍满足约束，不视为「过期」——它只报告「已安装版本不满足最新可用稳定版约束」的情况。
实操建议：
- 运行
composer show monolog/monolog看实际安装版本和远程最新版对比 - 用
composer outdated --all强制检查所有包（包括 dev 依赖和被锁定的包） - 检查是否启用了
minimum-stability配置，比如设为stable时，即使有新的beta版也不会显示
composer outdated 和 composer update 的结果对不上
这是因为 composer outdated 基于 packagist.org 的元数据做静态分析，不考虑本地 composer.lock 锁定状态或平台配置（如 PHP 版本、扩展）。而 composer update 是真实执行依赖解析，会受 platform 配置、require-dev 开关、甚至网络临时失败影响。
实操建议：
- 先运行
composer update --dry-run看实际会升级哪些包，比outdated更贴近真实结果 - 如果
outdated显示某包可更新，但update不动它，大概率是该包被其他依赖的版本约束卡住了（比如 A 依赖foo:^1.0，B 依赖foo:^2.0，最终锁在1.x） - 用
composer depends foo/package查谁在拖后腿
CI/CD 中自动化检查过期依赖要注意什么？
直接跑 composer outdated 在 CI 里容易误报：网络抖动导致元数据拉取失败、packagist 限流返回空、或者因缓存未更新看到旧信息。
实操建议：
- 加
--no-cache避免本地缓存干扰 - 用
composer outdated --direct --minor-only --format=json输出，再用 jq 或简单脚本过滤出version字段变化的项 - 不要把「有输出即失败」当规则——有些标红是预期中的（比如故意不升
symfony/console主版本），应结合团队约定设置白名单
composer.json 怎么写、PHP 版本有没有变、甚至昨天 packagist 返回了什么——别光信 outdated 的第一眼结果。
