composer update 是按 composer.json 约束重装依赖的指令，不跨主版本升级、不自动修复冲突，需人工判断；它忽略 composer.lock 重新计算依赖图，仅在修改约束、测试新版本或 lock 丢失时使用。
composer update 不是“全量刷新”，而是按需重算依赖图；想精准控制，必须明确指定包名、理解锁文件行为、避开 dev-分支陷阱。
只更新某个包：用 composer update vendor/package，不是 require
你改了 composer.json 里的 "monolog/monolog": "^2.10"，但运行 composer install 没反应——因为 install 只认 composer.lock，它还记着 2.9.0。
此时该做的是：
-
composer update monolog/monolog：只重算这个包及其子依赖（比如psr/log），其他包版本完全不动 - 加
--dry-run先看影响：composer update monolog/monolog --dry-run，避免意外升级symfony/event-dispatcher等间接依赖 - 别写
composer require monolog/monolog:^2.10：这会先尝试安装新版本，再写进require，容易多出冗余变更
为什么 composer update foo/bar 有时不生效
常见现象：明明 foo/bar 的 v2.1.0 已打 tag 并推送到 GitHub，composer update foo/bar 却还是装 dev-main 或报错。
根本原因不是 Composer 问题，而是约束和仓库配置没对齐：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 如果
require里写的是"foo/bar": "dev-main"，update永远不会切到v2.1.0——dev-分支引用优先级高于 tag，且不参与语义化版本计算 - 检查
repositories是否正确定义为"type": "vcs"，URL 是https://github.com/foo/bar而非网页链接或带/tree/main的路径 - 确认远程仓库有合法
composer.json，且其中"name"字段与require中的foo/bar完全一致（大小写、斜杠都不能错）
composer.lock 是精度开关，不是可选项
执行 composer update foo/bar 后，composer.lock 里对应条目的 source 类型、reference（commit hash）、dist URL 全部更新。下次 install 就严格按这个装。
容易被忽略的关键点：
- 如果
foo/bar是 VCS 包且用了"dev-main#abc1234"，lock会记录这个 SHA；删掉lock再install，就可能拉到另一个 commit - CI 环境中若误用
composer update替代install，会导致每次构建依赖树漂移——哪怕只是phpunit/phpunit从10.5.1升到10.5.2，也可能因断言行为微调导致测试失败 -
lock文件顶部的platform字段（如"php": "8.1.0"）会影响依赖解析结果，本地 PHP 8.3 装出来的lock，在 CI 的 8.1 环境下可能直接失败
0.x 包的 ^ 约束本质是“假宽松”
写 "some/internal-tool": "^0.4.2" 看似允许升级，实际等价于 ">=0.4.2 。0.x 阶段没有 API 稳定性承诺，<code>0.4.9 里删一个 public 方法完全合法。
这意味着：
-
composer update some/internal-tool不会升到0.5.0，哪怕你手动 push 了那个 tag - 如果团队已约定
0.4.x是稳定线，就该把约束写死为"0.4.9"，而不是依赖^的“自动截断”逻辑 - 用
composer why some/internal-tool查依赖链时，注意输出里是否含required by root——如果是根项目直引，那它的版本就是你最终能控住的唯一锚点
