composer outdated 默认只列出 packagist 上有更高稳定版本的包，不判断是否必须升级；需结合 php 版本、composer.json 约束及 composer audit 检查安全漏洞才能准确定义“过时”。
Composer 的 outdated 命令能直接列出所有可更新的依赖包，但默认只显示「有新版可用」的包，不等于「必须升级」——是否过时，得结合你的 PHP 版本、项目兼容性、安全通告来判断。
如何用 composer outdated 快速识别可更新包
执行 composer outdated 会列出所有已安装但存在更高稳定版本的包（含主版本、次版本、补丁版本），默认按包名排序。它只查 composer.lock 中记录的当前安装版本与 Packagist 上最新稳定版的差异。
- 加
--direct只显示composer.json中直接声明的依赖，排除递归依赖 - 加
--minor-only或--patch-only限制只显示次版本或补丁版本更新（避免意外拉到 v3.x） - 加
--format=json输出结构化数据，适合脚本解析 - 加
-D（即--outdated的别名）效果相同，但更短
为什么有些安全更新不会出现在 outdated 结果里
outdated 不检查 CVE 或安全公告，只比对版本号。比如 monolog/monolog v1.26.1 有已知 RCE，但若你装的是 v1.27.0（非最新 v2.x），outdated 就不会提示——因为 v1.27.0 在 v1 分支里已是最新稳定版。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 要查安全风险，必须配合
composer audit（Composer 2.5+）或第三方服务如security-advisories数据库 -
outdated默认忽略dev-、alpha、beta等非稳定版本，即使它们修复了漏洞 - 私有仓库包若未在 Packagist 同步元数据，
outdated无法感知其更新
outdated 显示的版本号含义容易误解
输出格式为：vendor/package installed-version latest-version stability。其中 latest-version 是 Packagist 标记为 stable 的最高版本，不考虑是否与你的 composer.json 中的约束兼容。
- 例如你写
"php": "^7.4"，但outdated仍可能显示laravel/framework最新是 v10.x —— 实际因 PHP 版本不满足，composer update会跳过它 - 如果某包在
composer.json中用dev-main，outdated默认不显示更新（除非加--all） -
stability列显示RC或beta时，代表最新版不稳定，生产环境应谨慎对待
真正决定一个包「是否过时」的，从来不是 outdated 的输出本身，而是它和你当前 composer.json 的版本约束、PHP 大版本、以及是否已知漏洞之间的三角关系。漏掉 --direct 可能让你误判间接依赖的风险；忽略 audit 则可能把有 CVE 的包当成「最新且安全」。
