正确命令是composer update vendor/package-name，它仅更新指定包及其满足版本约束的直系依赖，不重算整个依赖树；若包非直连依赖则报错，升主版本须先修改composer.json约束。
Composer 没有“增量更新”这个官方概念，所谓增量，其实是**只更新指定包及其必要依赖**，避免全量重算依赖树——核心就一条：composer update vendor/package-name，其他都是干扰项。
为什么 composer update vendor/package-name 才是真·局部更新
无参数的 composer update 会丢弃 composer.lock，重新解析整个 composer.json，升级所有满足约束的包，极易引入静默 break。而指定包名后：
- 只按
composer.json中该包的版本约束（如"monolog/monolog": "^2.8"）拉取最新兼容版（比如2.10.0） - 仅顺带升级它直系依赖中未被其他顶层包锁死的子依赖（如
psr/log若需升到^2.0才能装monolog 2.10，就会升） - 完全不碰
laravel/framework、guzzlehttp/guzzle等其他顶层包，哪怕它们也在composer.json里 -
composer.lock只改对应包及其直系依赖条目，其余部分原封不动
composer update 后发现别的包也变了，正常吗
正常，但得看变的是谁：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 如果变化的是目标包的直系依赖（比如你
update monolog/monolog，psr/log和symfony/polyfill-php80也变了），这是 Composer 在满足新版本 require 声明时的必然行为 - 如果
laravel/framework或phpunit/phpunit也变了，大概率是你漏写了包名（输成了composer update），或用了带空格的引号（如composer update "monolog/monolog"）导致 shell 忽略参数 - 如果
composer.lock里一堆无关包“变色”，立刻git diff composer.lock，确认是否误触了--with-all-dependencies或--dev
想升主版本或突破约束，不能只靠 update
composer update monolog/monolog 永远不会从 ^2.0 升到 ^3.0，哪怕 3.0.0 已发布——它严格遵守 composer.json 中声明的约束。
- 要升主版本，必须先手动编辑
composer.json，把"monolog/monolog": "^2.8"改成"^3.0"或"3.0.0" - 再运行
composer update monolog/monolog（仍要带包名） - 若失败，跑
composer why-not monolog/monolog:3.0.0查谁在拦路，常见是laravel/framework锁着monolog:^2.0 - 别用
--ignore-platform-reqs强上，lock 文件可能生成不一致，CI 构建会失败
最易被忽略的细节：包必须是直连依赖
执行 composer update foo/bar 报错 Package foo/bar is not required in your composer.json，说明它只是某个包的子依赖（transitive dependency），没被你项目直接 require。
- 先检查
composer.json的require区块有没有"foo/bar": "^1.2" - 没有？就不能直接
update，强行加--with-dependencies会连带升级上游，风险极大 - 临时方案：用
composer require foo/bar:^2.0 --no-update先写入composer.json，再composer update foo/bar - 开发调试时，更轻量的做法是
git clone到vendor/foo/bar并配repositories，不污染 lock 文件
