正确方式是执行composer update vendor/package-name，如composer update monolog/monolog，它仅按composer.json约束更新该包及其直系依赖，不改动其他顶层包，避免全量更新引发的兼容性问题。
想只更新一个包，就用 composer update vendor/package-name，别加引号、别漏包名、别不带参数跑全量更新——这是唯一可靠方式。
为什么 composer update monolog/monolog 才是正解
很多人输完 composer update 回车就后悔：vendor 里一半包都变了。这不是 Composer 失控，是你没指定目标。无参数的 composer update 会重新解析整个 composer.json，升级所有满足新约束的包，极易引发 BC break。
而 composer update monolog/monolog 的行为是确定的：
- 只按
composer.json中该包的版本约束（如"^2.8"）拉取最新兼容版（比如2.10.0） - 仅顺带升级它直接依赖、且未被其他包锁死的子依赖（如
psr/log若需升到^2.0才能装monolog 2.10，就会升） - 不会碰
laravel/framework、guzzlehttp/guzzle等其他顶层包，哪怕它们也在composer.json里 - 修改后的版本会写入
composer.lock，但只改对应条目
composer update 后发现别的包也变了，正常吗
正常。只要变化的包是目标包的**直系依赖**，且旧版本无法满足新版本的 require 声明，Composer 就必须升级它。
常见误判场景：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer update foo/bar→baz/qux也升了：查foo/bar的composer.json，它新版本可能 require"baz/qux": "^3.0"，而你原来锁的是2.5 - 执行后
composer.lock里一堆无关包变色：大概率你敲成了composer update（少写了包名），或用了带空格的引号如composer update "monolog/monolog"，某些 shell 会把它当字符串忽略 - 想升
monolog/monolog到^3.0却失败：运行composer why-not monolog/monolog:3.0，通常会看到laravel/framework锁着monolog:^2.0—— 这时候得先升 Laravel，或接受不升
怎么强制升到某个具体版本
Composer 不支持命令行直接指定版本更新（比如 composer update monolog/monolog:3.0.0 是无效语法）。要锁定版本，必须两步走：
- 手动编辑
composer.json，把对应包的版本字段改成目标值，例如："monolog/monolog": "3.0.0"或"^3.0" - 再运行
composer update monolog/monolog（仍要带包名） - 如果改完
composer.json还卡在旧版，检查composer.lock是否残留旧约束 —— 可删掉composer.lock和vendor/后重试（仅限本地）
注意：不要用 composer require monolog/monolog:3.0.0 --update-with-dependencies 曲线救国，这本质是重装，会覆盖 composer.json 原有约束，后续 install 行为可能意外改变。
全局包怎么单独更新
全局包路径不在项目内，命令要加 global 前缀：
- 查看已装全局包：
composer global show --direct - 更新单个：
composer global require laravel/installer:^4.0（注意这里用require，不是update） - 不能写
composer global update laravel/installer——global update不支持指定包名，只会全量更新 - 若需降级或精确控制，进
~/.composer/目录，手动改composer.json后再composer global install
真正容易被忽略的是：全局更新不走项目级 composer.lock，也没有版本快照保障，生产环境应尽量避免依赖全局包。
