composer update 无法真正只更新单个包，运行 composer update vendor/package 实际会重解析整个依赖图；需用 replace 占位+脚本获取版本+require --no-update+单独 update 才可控。
Composer update 不能自动更新单个包？
直接运行 composer update vendor/package 并不会只更新那个包——它会连带更新其所有满足版本约束的依赖，甚至可能触发整个 composer.lock 的重写。这不是“指定更新”，而是“限定范围的全量解析”。真正想做到“仅升级目标包且不扰动其他依赖”，得绕开默认行为。
用 --with-dependencies 要非常小心
这个参数常被误认为是“安全更新子依赖”的开关，实际效果是：强制把目标包的所有直接依赖（哪怕它们版本没变）也加入更新候选集。结果往往是意外升级一个次要依赖，导致运行时报错。
- 如果目标包的
composer.json声明了"monolog/monolog": "^2.0"，而你本地锁文件里是2.9.1，加了--with-dependencies后，Composer 可能强行升到3.0.0（只要满足 ^2.0） - 更隐蔽的问题：某些包在
require-dev里声明的工具依赖（如phpunit/phpunit）也会被拉进来更新，污染生产环境 - 建议只在明确知道目标包及其直接依赖的版本边界时才启用，否则删掉这个参数
定时任务里跑 update 前必须加 --no-interaction 和 --dry-run 验证
服务器上用 cron 自动执行 composer update 是高危操作。没有 --no-interaction，命令会在遇到冲突时卡住；没有 --dry-run，你根本不知道这次更新会改什么。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer update vendor/package --no-interaction --dry-run会输出将要变更的包列表和版本，但不写入任何文件 - 把这行命令放进 shell 脚本，用
grep -q "Updating.*vendor/package"检查输出是否含目标包，再决定是否执行真实更新 - 务必设置
COMPOSER_HOME环境变量指向统一目录，避免 cron 用户和部署用户使用不同缓存路径导致重复下载
真正可控的“自动更新单包”只能靠 replace + 自定义脚本
Composer 原生不支持“锁定其他包、仅放开某一个”的语义。最稳妥的做法是：先用 replace 把目标包临时“占位”，再用脚本解析 composer show -f json vendor/package 获取最新稳定版，最后用 composer require vendor/package:version --no-update 写死版本号，最后 composer update vendor/package --no-interaction 执行。
- 关键点在于跳过依赖图重计算：用
--no-update先写入composer.json，再单独更新该包，避免波及其他 - 注意
composer show返回的是当前源里可用的版本，不是 Packagist 最新 —— 如果用了私有仓库，得确认repositories配置已加载 - 别信
composer outdated的输出：它只检查主依赖，对require-dev或嵌套依赖里的同名包完全不敏感
自动更新的本质是放弃 Composer 的依赖求解器，自己做版本决策。一旦开始写脚本控制流程，就得自己承担版本兼容性验证的责任——这点很容易被忽略。
