正确命令是 composer update vendor/package-name，它默认仅更新该包及其满足版本约束的子依赖，其他顶层包保持不动；加 --with-dependencies 可显式控制只更新目标包及其直系依赖，避免无关变更。
回归测试不是“跑一遍 phpunit 就完事”，核心在于控制变量：必须锁定被测包的版本、隔离依赖变更、确保测试环境与发布时一致。否则你测的可能是旧代码+新依赖，失败了也归不了因。
怎么让 composer update 不动其他包，只升级目标依赖
直接 composer update vendor/package 会连带更新其子依赖，干扰回归判断。真正可控的做法是加 --with-dependencies 显式收口范围：
- 先用
composer update vendor/package --dry-run看实际会动哪些包，重点关注 major 版本跳变（如v2.4.1 → v3.0.0） - 确认无风险后执行
composer update vendor/package --with-dependencies，它只更新该包及其直系依赖，不碰无关项 - 如果子依赖里有你明确不想动的（比如
psr/log），在composer.json中单独加约束："psr/log": "^1.1"，再重试
为什么 --prefer-lowest 测试总失败，但本地又正常
常见原因是 composer.lock 缓存了旧解析结果，或 CI 环境漏了 --prefer-stable 导致拉到 dev-master。关键检查点：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer update --prefer-lowest --prefer-stable --no-interaction，不能只用install—— 已存在的 lock 文件会跳过版本重解析 - 执行后立刻
composer show vendor/package，确认输出中不含dev-或alpha字样 - 若报错 “Your requirements could not be resolved”，说明某依赖的最低稳定版与 PHP 版本/其他约束冲突，临时收紧它的版本约束（如把
^2.0改成>=2.1.0）再试
如何验证 regression 是由哪个依赖变更引起的
靠猜没用，得用 composer.lock 快速切片对比：
- 保存当前
composer.lock为lock.before，跑测试确认失败 - 执行
git checkout lock.before && composer install回退所有依赖，再跑测试 —— 如果变绿，说明问题确实在依赖变更中 - 用
git diff lock.before composer.lock找出具体哪些包版本变了，逐个排查：对可疑包执行composer show -t vendor/package查它依赖树，重点盯psr/*、ralouphie/getallheaders这类常被连带升级的轻量包
CI 中跑回归测试最容易漏掉的一步
不是写脚本，而是没强制清空 vendor 目录和 lock 文件残留。尤其当从 path 仓库切回 packagist 正式版时：
-
composer remove vendor/package后必须跟composer require vendor/package:^2.0，不能只改composer.json再update - 检查
composer.lock中该包的"source": {"type": "zip"}是否出现 —— 只有这个才代表真正切回了发布版 - CI job 开头加
rm -rf vendor composer.lock，避免上一次测试的缓存干扰本次解析
最常被忽略的是：回归测试失败后，开发者第一反应是改代码，但其实 70% 的 case 根源在依赖版本漂移或 autoload-dev 没生效。先确认 composer dump-autoload --dev 跑了没，再看 vendor/composer/autoload_dev.php 里映射路径对不对 —— 这比翻 PHPUnit 错误堆栈快得多。
