直接用 composer update vendor/package-name 可精准更新指定包及其直系依赖，无需插件或通配符；包名必须完整（如 monolog/monolog）、大小写敏感，且须已在 composer.json 中声明。
想只更新几个包，别碰其他依赖？直接用 composer update vendor/package-name 就行——这是最稳、最快、最可控的方式，不需要插件、不依赖通配符、也不用改配置。
为什么 composer update monolog 会报错
Composer 只认完整包名，比如 monolog/monolog，不是 monolog 或 http-foundation。漏掉 vendor 名，命令会当成一个叫 “monolog” 的独立包去查，而它根本不存在。
- 错误现象：
Package "monolog" not found - 包名必须带斜杠，大小写敏感：
monolog/monolog✅，Monolog/monolog❌ - 临时验证包是否存在：
composer show 'monolog/*'（单引号防 shell 展开）
composer update 后跟多个包名的写法
空格分隔，不加逗号、不换行、不加引号（加了也行，但没必要），Composer 会只更新这些包及其受影响的直系子依赖。
- 正确示例：
composer update monolog/monolog symfony/http-foundation guzzlehttp/guzzle - 包必须已在
composer.json的require或require-dev中声明，否则报错：Package xxx is not required in your composer.json - 不支持通配符：
composer update monolog/*会直接失败 - 如果某个包版本被锁死（如
"monolog/monolog": "2.9.0"），update不会动它——得先改成"^2.9"或删掉具体版本号
怎么升到特定大版本（比如 2.x → 3.x）
Composer 命令行不接受裸版本号，但支持临时约束语法：冒号后跟版本范围，且必须带完整包名。
- 临时指定：
composer update monolog/monolog:^3.0（注意冒号不能漏） - 升级失败时，先查谁在拦着：
composer why-not monolog/monolog:3.0 - 如果输出里显示
laravel/framework锁着monolog:^2.0，就得先升 Laravel，或接受不跨主版本 - 别用
--with-all-dependencies盲升——它可能连带把doctrine/dbal从 3.x 推到 4.x，超出预期
更新后必须做的两件事
批量更新不是敲完回车就完事。变化是否精准、有没有意外牵连，得靠人工确认。
- 立刻执行：
git diff composer.lock，只看目标包及其直系依赖的 version/source/dist 字段是否变更，其他部分应完全不动 - 类找不到？大概率 autoload 没刷新：
composer dump-autoload -o必须跟上 - 别信
composer outdated的 “latest” 列——它只反映 Packagist 当前稳定版，不一定兼容你的 PHP 版本或现有依赖
真正容易被忽略的是：包名拼写、vendor 名遗漏、以及 composer.lock 变更范围是否符合预期。这些地方一错，轻则白忙活，重则线上行为漂移。
