composer outdated 不检查插件是否失效，因其仅比对已安装包与源中满足版本约束的最新稳定版，完全不涉及插件加载、兼容性、白名单授权或 activate() 执行状态；插件失效表现为静默跳过（如无“loading plugin”日志），需用 composer diagnose、composer install -v 和 composer show 交叉验证。
composer outdated 为什么看不出插件失效？
composer outdated 根本不检查插件，它只比对普通依赖包的 installed 和 latest 版本。插件是否加载、是否兼容、是否被白名单允许——这些全在它的视野之外。你看到一堆包“没过时”，不代表插件还在工作。
插件失效是静默的：没报错、没提示、命令照跑，但该触发的逻辑（比如自动生成 autoload、注入配置、拦截 install 流程）全没了。常见表现包括：composer dump-autoload 不再生效、phpstan 扩展找不到、symfony/flex 不再自动注册 bundles。
小版本升级如何意外干掉插件？
不是所有小版本都安全。尤其当插件作者在 patch 或 minor 版本里悄悄升级了 composer-plugin-api 约束，或引入 PHP 8.2+ 语法（如 match 表达式），而你的环境仍是 PHP 8.1，插件就会在 activate() 阶段直接 fatal，但 Composer 默认吞掉异常，只留空日志。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer outdated显示phpstan/extension-installer是1.3.1 → 1.3.2，看起来只是补丁升级 - 但
1.3.2的composer.json里写了"require": {"composer-plugin-api": "^2.5"}，而你用的是 Composer 2.4 - 结果：
composer install -v里看不到Loading plugin phpstan/extension-installer这一行 - 验证方式：
composer diagnose末尾会写Plugin phpstan/extension-installer is not compatible with Composer 2.4
怎么提前发现这类风险？
别只信 outdated 输出的版本号。小版本升级前必须人工交叉验证三件事：
- 查插件真实
name：composer show phpstan/extension-installer看第一行，确保allow-plugins里填的是完整 vendor/name - 确认插件支持当前 Composer 版本：
composer show phpstan/extension-installer | grep "composer-plugin-api"，输出必须匹配你本地composer --version - 检查 PHP 兼容性：
composer show phpstan/extension-installer | grep "php:"，对比你当前php -v，尤其注意^8.1和^8.2的差异 - 强制触发激活日志：
composer install -vv，盯住 “Activating plugin” 后有没有堆栈——没有就说明activate()提前退出或抛异常被吞了
CI/CD 中最容易忽略的陷阱
很多团队在 CI 里加了 composer outdated --minor-only 就以为万事大吉，但这个命令完全绕过了插件链。更危险的是：CI 环境常复用 vendor/ 和 composer.lock，导致旧插件残留、新约束未生效，而 outdated 基于脏数据比对，结果毫无意义。
真正有效的检查是：composer install --no-cache -v | grep "Loading plugin\|Activating plugin"。如果没输出对应行，不管 outdated 报什么，插件已经失效了——此时必须清缓存、删 vendor、重走完整流程。
