composer update不是升级而是重装依赖树，它忽略composer.lock、重新解析composer.json中所有require和require-dev，拉取满足约束的最新兼容版本，可能引入bc break；仅适用于lock丢失、测试新主版本、修改版本约束或ci需最新合法组合等窄场景。
composer update 不是升级，是重装依赖树
它会忽略 composer.lock，从头解析 composer.json 里所有 require 和 require-dev，拉取满足约束的最新兼容版本——不是“升一点”，而是“全拆了重装”。这意味着：本地 PHP 版本不满足新包要求时直接报错；网络卡在 metadata 获取阶段可能无响应；lock 文件里锁着的稳定版，update 后可能变成 v3.0.0-beta2 这类带 BC break 的预发布版。
所以别把它当“安全升级按钮”。真实可用场景其实很窄：
– composer.lock 丢了或严重过时，又没法从 Git 恢复
– 明确要测试某个包（比如 monolog/monolog）的下一个主版本是否兼容
– 改了 composer.json 里的约束（如把 "php": "^7.4" 改成 "^8.1"）
– CI 环境需要当前约束下能解析出的最新合法组合（但更推荐用 composer install + 提交 lock）
只更新一个包，为什么子依赖没动？
默认行为就是如此：composer update vendor/package-name 只更新该包本身，它的子依赖（比如 guzzlehttp/guzzle 依赖的 psr/http-message）完全不动。这不是 bug，是设计使然。
- 想修一个安全漏洞又不想牵连整个依赖树 → 就用
composer update guzzlehttp/guzzle - 要连带更新直系依赖（比如
psr/http-message）→ 加--with psr/http-message - 要彻底更新整棵依赖树（含子依赖的子依赖）→ 用
--with-all-dependencies，例如composer update guzzlehttp/guzzle --with-all-dependencies -
--with-dependencies在 Composer 2.2+ 已被移除，执行会直接报错Unrecognized option: --with-dependencies
为什么改了 composer.json 还是升不到新版？
常见现象：composer show monolog/monolog 显示 2.9.1，而官网已发 3.0.0，运行 composer update monolog/monolog 却提示 nothing to install or update。这不是命令失效，是 composer.json 里的版本约束卡死了。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 先查原因：
composer outdated，带!标记的表示有主版本可升，但当前约束不允许 - 真想升主版本（如 2→3）：必须手动改
composer.json中对应行，比如把"monolog/monolog": "^2.0"改成"^3.0"，再执行composer update monolog/monolog - 改完后
composer.lock一定会变，记得提交，否则队友composer install还是旧版 - 如果目标包被其他已锁版本强约束（如
"foo/bar": "1.2.3"写死在composer.json），也可能无法升级
CI/CD 里乱用 composer update 是高危操作
无参数的 composer update 在流水线里等于主动放弃构建稳定性。每次构建都可能拉到不同依赖组合，尤其当 Packagist 临时抖动或镜像源缓存滞后时，结果不可控。
底线做法：
– CI 必须用 composer install --no-interaction --optimize-autoloader
– 禁止出现 composer update --no-dev 这类模糊指令——它仍会更新所有 require-dev 下的包
– 如果非得用 update，必须带明确包名或范围，例如：composer update laravel/framework illuminate/support 或 composer update --dev phpunit/phpunit
– 升级后立刻执行 composer dump-autoload -o，否则新类可能报 Class not found
最常被忽略的一点：composer update 耗时通常是 install 的 3–10 倍，尤其在国内网络环境下，它要远程查元数据、解压、校验哈希，而这些步骤在 install 中全被跳过。
