composer outdated仅比对composer.lock中已安装版本与composer.json约束范围内packagist最新稳定版，不查间接依赖、安全漏洞、php兼容性或私有接口调用；installed为锁文件实际版本，latest为当前约束下最高可用稳定版，二者不等不代表可升级，需结合composer update --dry-run验证。
composer outdated 不是“查所有包有没有新版”的扫描器，它只报告那些「已安装版本低于当前约束范围内最高稳定版」的包——换句话说，它告诉你哪些包 能升、且 Composer 认为值得提醒你。默认不看间接依赖、不查安全漏洞、不考虑 PHP 版本兼容性，更不会管你代码里有没有调用私有接口。
composer outdated 输出的 installed 和 latest 到底怎么看
输出里三列关键信息：包名、installed（来自 composer.lock 的实际加载版本）、latest（在你 composer.json 当前版本约束下，Packagist 上可用的最高稳定版）。
- 如果
installed和latest一致，说明这个包在约束范围内已是最新，无需操作 - 如果不一致，不代表一定能升——比如
"monolog/monolog": "^2.0"锁着2.10.0，latest显示3.5.0，但3.5.0不满足^2.0，composer update根本不会动它 -
latest是受约束限制的，不是 Packagist 绝对最新版；想看绝对最新，得用composer show vendor/package或调 Packagist API
为什么有些明显有新版的包没出现在 outdated 结果里
最常见原因不是命令失效，而是你的约束或配置让它“不可见”：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 版本写死了：
"phpunit/phpunit": "9.5.10"→ 即使9.5.13已发布，也不会提示 - 包被
replace或provide替换（如用symfony/polyfill替代原生函数），默认不参与检查 -
minimum-stability设为stable，而新版本是beta或rc，直接过滤掉 - 用了私有仓库或镜像源，但该源同步滞后，
outdated只比对你当前配置的源 -
composer.lock滞后于composer.json（比如手动改过composer.json没跑update），此时outdated基于脏数据比对，结果不可信
怎么让 outdated 更贴近真实升级场景
outdated 是快照比对，composer update --dry-run 才是模拟真实解析。两者必须配合看：
- 先跑
composer outdated --direct --minor-only快速筛出低风险可选项 - 再对目标包执行
composer update vendor/package --dry-run --with-all-dependencies，确认是否真能升、会不会连带降级其他包 - 如果
outdated显示可升，但--dry-run报Your requirements could not be resolved，大概率是某个间接依赖锁死了版本，用composer depends vendor/package查谁在拖后腿 - CI 中别只靠
outdated判断失败，加--no-cache --no-ansi --format=json避免缓存和颜色干扰，再用脚本过滤.packages[].latest.major > .packages[].installed.major
CI/CD 自动化检测最容易忽略的点
很多团队把 composer outdated --direct --minor-only 加进 CI，却在上线前翻车——问题往往不在命令本身，而在环境一致性：
- CI 使用的 Composer 版本太老（如 2.0.x），不支持
--minor-only，参数被静默忽略，实际跑的是全量检查 - 本地开发时设过
minimum-stability: dev，但 CI 没同步该配置，导致可见包范围不同 - 没加
--no-cache，CI 节点复用缓存，看到的是旧元数据 - 误把“有输出”当构建失败条件——标红只是提示可能含 BC break，不是 bug；有些主版本卡住是刻意为之（如不升 Symfony 6 因 PHP 8.0 不支持）
真正要盯住的，不是 outdated 列表本身，而是它和 composer update --dry-run 的差异，以及那个被反复忽略的 composer.lock 是否干净。
