不带参数运行 composer update 是高风险操作，它会丢弃 composer.lock 重算整棵依赖树，导致 phpunit/symfony 等包意外升级、ci 失败、php 扩展行为变更及 class not found 等问题；应改用 composer outdated --direct 检查可升级包，必要时配合 --dry-run 和 --with-all-dependencies 谨慎操作，并始终提交更新后的 composer.lock。
不带参数运行 composer update 是高概率引发线上故障或 CI 失败的危险操作，不是“更新”，而是丢弃当前 composer.lock、从头重算整棵依赖树。
为什么它会悄悄升级 PHPUnit 或 Symfony？
Composer 不区分“开发依赖”和“生产依赖”，默认连 require-dev 下所有包一起重装。比如你本地 phpunit/phpunit 是 10.5，而 composer.json 写的是 "phpunit/phpunit": "^10.0"，composer update 就可能把它升到 11.0 —— 新版已移除 --colors 参数，CI 脚本直接报错退出。
- 它无视
composer.lock中锁定的版本，哪怕你刚用composer install部署过稳定环境 - 它不检查 PHP 版本兼容性：本地是 PHP 8.2，但
config.platform.php设为 8.1，它仍会按平台配置选包，装完才发现ext-gd行为已变 - 它不跳过已知安全漏洞版本，也不会主动避开
beta或rc包，只要满足约束就上
为什么 autoloader 会失效？
重算依赖图时，若某个包（如 symfony/finder）因新版本要求更高 PHP 版本或缺失扩展而无法安装，Composer 会回退到其他可满足约束的组合，可能导致类自动加载路径断裂 —— 比如 vendor/autoload.php 里不再包含某个命名空间映射，Class not found 错误静默出现。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 常见现象：命令行能跑，Web 请求 500；
composer dump-autoload也救不回来 - 根本原因不是 autoload 配置错，而是依赖求解器绕过了原本被锁死的稳定路径
- 排查方式：对比
git diff composer.lock，重点看"source"字段是否从dist切到source，或"version"是否跨了主版本
如何安全地替代无参数 update？
95% 的场景下，你根本不需要 composer update。正确流程是只提交 composer.json 和 composer.lock，让所有人运行 composer install —— 它严格按 lock 文件还原，结果确定、可复现。
- 想确认哪些包可升？先跑
composer outdated --direct，它不改任何文件，只告诉你显式声明的包有没有新版 - 看到带
!的行（如laravel/framework 9.52 → 10.38 !），别急着 update，先composer why-not laravel/framework:10.*查谁在拦路 - 真要批量更新？必须加
--with-all-dependencies，否则子依赖残留旧版，运行时报Class not found（比如psr/http-client还卡在 1.x） - 执行前务必
git add composer.lock && git commit -m "save lock before bulk update"，否则出问题没法回滚
最常被忽略的一点：即使你只改了一个包的版本号并 composer update vendor/package，Composer 仍会递归更新其全部子依赖 —— 这种“间接升级”不会出现在 composer.json 中，但会写进 composer.lock，且无任何提示。真正可控的方式，是先 composer update --dry-run vendor/package 看清实际影响范围，再决定是否继续。
