结论：不要无参数运行 composer update，它会忽略 composer.lock 并重装整个依赖树，导致不可控升级；正确做法是明确指定包名，如 composer update monolog/monolog。
直接说结论：不要用 composer update 无参数运行，它不是升级，是重装整个依赖树——lock 文件被忽略、所有包重新解析、结果不可控。
为什么 composer update 默认行为很危险
它会丢弃 composer.lock，从头按 composer.json 里的所有 require 和 require-dev 重新计算依赖图。哪怕你只改了一行 PHP 版本约束，它也可能把 symfony/console 升到带 BC break 的预发布版，或让 guzzlehttp/guzzle 拉来一个不兼容你本地 PHP 版本的 v8.x。
- CI 流水线里写
composer update，每次构建拉的依赖 SHA 都可能不同，线上出问题却查不到原因 - 本地执行后
git status显示composer.lock几百行变动，说明整棵树被重算过，不是“升了几个小版本” - 它不会跨主版本升级，但也不会阻止你误操作——比如把
"php": "^7.4"改成"^8.1"后直接update，结果一堆包因 PHP 兼容性失败
只更新一个包的正确写法是 composer update vendor/package-name
这是唯一可靠方式，不加引号、不加版本号、不加任何额外参数。例如：composer update monolog/monolog。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 它只影响三类内容：该包自身、它在
composer.json中显式声明的子依赖（如"psr/log": "^1.1"）、以及这些子依赖未被其他包锁死的部分 - 如果
symfony/polyfill-php80同时被laravel/framework和monolog/monolog使用，且前者锁死^2.0，那即使后者要求^3.0，Composer 也不会升级它——除非你加--with-all-dependencies并手动解决冲突 - 包名拼错（比如
monolog/monolg）不会报错，命令静默成功但无任何变更，composer show monolog/monolog版本不变
想升到特定版本（比如 v3.1.2）必须分两步
composer update 不支持 foo/bar@v3.1.2 这种语法。要锁定精确版本，必须：
- 手动编辑
composer.json，把对应行改成"monolog/monolog": "3.1.2"（注意：不带^或~） - 再执行
composer update monolog/monolog，让 Composer 把composer.lock里的version字段和source.reference都对齐到这个值 - 别用
composer require vendor/package:1.5.0 --update-with-dependencies曲线救国——它会重写composer.json约束，后续install行为可能变
--with 和 --with-all-dependencies 的实际影响
默认情况下，composer update guzzlehttp/guzzle 只动 guzzlehttp/guzzle 本身，它的子依赖（如 psr/http-message）完全不动。这不是 bug，是设计使然。
- 要连带更新直系依赖（比如
psr/http-message），加--with psr/http-message - 要彻底更新整棵依赖树（含子依赖的子依赖），用
--with-all-dependencies -
--with-dependencies在 Composer 2.2+ 已被彻底移除，执行会直接报错Unrecognized option: --with-dependencies
真正容易被忽略的是：这些开关只在你明确指定包名时才生效；无参数运行 composer update 时，它们的行为和默认全量更新一样不可控。
