composer outdated 仅静态比对 lock 文件版本与 packagist 最新稳定版，不校验 require 约束、不解析依赖、不检测安全漏洞；升级前须结合 composer update --dry-run 和 composer audit 综合判断。
composer outdated 不是“过期检查工具”，它只是列出当前 composer.lock 中已安装但有新版本可用的包——不区分是否安全、是否推荐升级、是否兼容当前 require 约束。
为什么 composer outdated 显示的包不一定能直接升级
它只比对 packagist 上最新稳定版和你 composer.lock 里记录的版本，完全不校验 composer.json 中的版本约束（比如 "monolog/monolog": "^2.0"）。即使某包已发布 v3.0，只要不满足你的 require 规则，composer update 也不会装，但 outdated 仍会把它标出来。
- 显示为
monolog/monolog 2.10.0 → 3.5.0？先看composer.json里是不是写了^2.0或~2.8—— 如果是，v3 就不在允许范围内 - 加
--direct只显示 root 依赖（即你手动 require 的），避免被几十个间接依赖干扰判断 - 加
--minor-only或--patch-only可过滤掉可能破坏兼容性的大版本更新（但注意：这依赖包作者遵守 semver，实际并不总成立）
composer outdated 和 composer update --dry-run 的关键区别
前者是“静态快照比对”，后者是“模拟真实升级流程”。真正想知道“升了会不会崩”，必须用后者。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer outdated不检测冲突、不解析依赖图、不验证平台要求（如 PHP 版本、扩展） -
composer update --dry-run monolog/monolog会完整走一遍依赖解析，告诉你：是否满足约束、会不会降级其他包、有没有 conflict 报错 - 如果
outdated列出一堆包，但update --dry-run直接失败，大概率是锁文件或约束配置已偏离现状（比如手动改过composer.lock）
安全更新不能只靠 outdated
它完全不识别 CVE 或安全通告。PHP 官方不提供安全元数据，Composer 本身也不内置漏洞库。
- 想查安全风险，得用
composer audit（Composer 2.5+ 内置，需先运行composer install或update获取最新元信息） - 或者第三方工具：
security-checker（已归档）、roave/security-advisories（通过冲突机制阻止安装已知问题版本） -
outdated显示某包有新版，但新版可能刚曝出 RCE —— 没有上下文，盲目升级反而更危险
真正要动手升级前，永远先确认三件事：当前 composer.json 的约束是否允许、composer update --dry-run 是否通过、对应包的 CHANGELOG 里有没有 BC break。别让 outdated 的输出代替思考。
