composer update不加参数是最大风险点，会重算整个依赖图、升级所有包（含dev依赖），可能导致不兼容、测试失败或autoloader失效，应始终显式指定包名和版本。
composer update 不加参数就是最大风险点
直接运行 composer update 会重算整个依赖图，连 phpunit/phpunit、symfony/var-dumper 这类开发依赖都可能升到不兼容版本，测试直接挂掉，甚至导致 autoloader 失效。这不是“更新”，是重装赌运气。
真实项目里最常翻车的场景：线上爆出 guzzlehttp/guzzle 的 CVE，你急着跑 composer update guzzlehttp/guzzle，结果它的子依赖 psr/http-message 被连带升到 v2，而你的代码还硬调 MessageInterface::getProtocolVersion()（v1 接口），运行时报 Call to undefined method。
- 永远用
composer update vendor/package:version显式指定版本，比如composer update guzzlehttp/guzzle:^7.5.0 - 升级 Laravel 框架时，别只写
laravel/framework，要带上配套：composer update laravel/framework illuminate/* - CI/CD 流水线脚本里禁止出现无参数的
composer update，回滚成本远高于预防
先看 composer outdated --direct 再动手
composer outdated 不加 --direct 会把传递依赖全列出来，干扰判断；不加过滤又容易漏掉关键信息——比如 monolog/monolog 从 v1 升到 v3 这种主版本跳变，或某个包因 "prefer-stable": true 被完全压住没显示更新候选。
执行前必须确认三件事：
- 哪些包有安全更新（CVE 相关）
- 哪些主版本已跳变（输出里带
→且主号变了，如2.9.0 → 3.0.0） - 哪些包根本没被检测到（因
require-dev或replace扭曲了依赖图）
如果 outdated 没输出，先检查 composer.json 是否设了 "minimum-stability": "stable"，临时删掉再跑一次。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
升级后必须验证的四件事
光跑 composer update 完事等于没升级。真正起作用的是后续验证动作，缺一不可：
- 立刻运行全部测试：
vendor/bin/phpunit或对应命令，不是“跑一下”，是看覆盖率是否下降、是否有新失败用例 - 手动走一遍核心链路：登录、下单、API 返回结构、日志是否写入——自动化测试覆盖不到的盲区就靠这个
- 查日志里的
Deprecated:警告，它们不会报错，但下个主版本大概率就失效（比如 Symfony 6.2 开始废弃ContainerInterface::get()的字符串参数） - 用
phpstan analyse或psalm扫描类型调用，尤其注意接口变更引发的ArgumentTypeCoercion类错误
别信“没报错就没事”——很多破坏性变更在特定条件触发，比如并发请求下容器单例复用异常，或缓存键生成逻辑变化导致数据错乱。
composer.lock 不是缓存，是契约文件
删 composer.lock 后 composer install 重建，等于放弃对依赖一致性的控制。它里面存的不只是版本号，还有每个包的 commit hash、PHP 扩展要求、平台配置（config.platform），甚至安装时的 dist / source 来源选择。
团队协作中常见误区：
- 把
composer.lock加进.gitignore—— 错，它必须和composer.json同步提交 - CI 构建后发现
composer.lock变了却没报警 —— 应在 CI 脚本开头加校验：git diff --quiet composer.lock || (echo "lock changed!"; exit 1) - 误以为
composer update --lock是“只更新 lock” —— 实际上它只是重算 lock 不装包，根本暴露不了运行时问题，纯属无效操作
真正关键的不是怎么更新，而是更新前后有没有人盯住 composer.lock 的每一行变化，尤其是那些你没主动动过的包——它们被连带升级，往往才是功能崩坏的起点。
