composer outdated第三列installed为当前加载版本，latest为约束范围内最高可升版本；一致则未过时，不一致才需关注，且latest受composer.json版本约束限制。
composer outdated 显示的包版本到底怎么看？
命令输出里一堆包名和版本号，但很多人分不清哪些是“可安全升级”，哪些是“被锁死不能动”。关键看第三列：installed 是当前项目实际加载的版本（来自 composer.lock），latest 是该包在 composer.json 约束范围内能升到的最高版本。如果两列一致，说明没过时；不一致，才真需要关注。
注意：latest 不等于“最新稳定版”——它受 composer.json 里写的版本约束（比如 "monolog/monolog": "^2.0" 就不会显示 v3.x）。
- 想看所有包（包括 require-dev）：加
--all参数 - 只看直接依赖（忽略层层嵌套的子依赖）：加
--direct - 想快速定位高危过时包（如安全漏洞相关）：加
--outdated（其实默认就是这个行为，但显式写上更明确）
为什么有些包明明有新版，却不出现在 outdated 列表里？
最常见原因是版本约束太紧。比如 composer.json 写了 "phpunit/phpunit": "9.5.10"（固定版本），那即使 9.5.13 已发布，composer outdated 也不会提示——它认为你“故意要这个版本”。
另一个容易忽略的情况：包已被 replace 或 provide 替换（比如用 symfony/polyfill 替代某些原生函数），此时它不被视为“活跃依赖”，默认不显示。
- 强制检查所有已安装包（含被替换的）：
composer outdated --all --no-dev - 确认某包是否被约束死：
composer show vendor/package-name看versions行 - 检查是否被其他包替代：
composer show --platform对比
升级前必须搞清的三件事
composer outdated 只负责“报信”，不判断升级是否安全。尤其要注意：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 目标版本是否与 PHP 版本兼容？查包的
composer.json里php字段，或跑composer why-not php:8.2 - 是否引入了破坏性变更（BC Break）？看该包的 CHANGELOG 或 GitHub Releases，重点扫
Breaking Changes小节 - 你的代码有没有直调该包的私有方法、内部类或未文档化接口？这类调用在小版本升级中也可能失效
别跳过 composer update vendor/package-name --dry-run，它能提前暴露冲突，比直接 update 更省时间。
CI/CD 中自动检测过时包容易踩的坑
很多团队把 composer outdated --direct --minor-only 加进 CI 脚本，期望“只允许小版本更新”。但问题来了：--minor-only 实际匹配的是 ^1.2 这类约束下的次版本范围，对 ~1.2.0 或固定版本无效，结果就是漏报。
更麻烦的是缓存干扰：CI 环境常复用 vendor/ 或 composer.lock，导致 outdated 结果不是“当前项目真实状态”，而是“上次构建残留状态”。
- CI 中务必先运行
composer install --no-interaction --prefer-dist确保环境干净 - 检测逻辑建议用
composer outdated --direct --format=json | jq -r '.[] | select(.latest != .installed) | .name'提取真正需关注的包名，避免文本解析误判 - 不要依赖“无输出即通过”——某些错误（如网络超时、权限不足）也会让命令静默失败
过时包清单只是起点，真正耗时的是验证每个升级点对业务逻辑的影响。特别是那些只在支付回调、定时任务或异常分支里才触发的依赖，最容易被 outdated 列出来，又最容易在线上出问题。
