Composer update 默认不显示依赖变更 Diff，因其仅输出包名和版本号，非代码差异工具；需结合 Git diff composer.lock 或插件分析变更。
composer update 为什么默认不显示依赖变更的 Diff？
因为 composer update 默认只输出安装/更新的包名和版本号，不展示具体文件改动——它本质上是包管理器，不是代码差异工具。真正要看到“哪些文件变了、改了什么”，得靠 Git 配合，或者用插件补足。
用 composer outdated + git diff 查看实际变更内容
这是最可靠、无需额外插件的方式：先锁定更新前后的 composer.lock，再用 Git 比对差异。前提是你的项目已用 Git 管理且 composer.lock 已提交。
- 执行
git status确认composer.lock尚未提交（即还处于“待更新”状态） - 运行
composer update，更新完成后composer.lock和vendor/都会变 - 用
git diff --no-index /dev/null vendor/autoload.php 2>/dev/null || true判断是否新增/删了 autoload 文件（辅助验证） - 重点执行：
git diff --no-prefix composer.lock—— 这能清晰看到每个包的版本升降、哈希变更、require 变动
注意：如果 composer.lock 没进 Git，git diff 就没参照物，此时 Diff 失效。
启用 composer-require-checker 或 dependabot 做语义级依赖变更分析
单纯看 composer.lock 的 diff 只能知道“版本变了”，但不知道“是否引入了新类、废弃了旧接口”。这类深层影响需要静态分析工具介入。
-
composer-require-checker可扫描代码中实际使用的类/函数，对比更新后 vendor 中是否仍存在，提示潜在的 BC break - GitHub 的 Dependabot PR 会自动附带
composer.lockdiff，并标记出 major 版本升级（比如从v2.3.0→v3.0.0），适合团队协作场景 - 避免直接信
composer show --tree：它只反映当前依赖树结构，不体现变更过程
别依赖 --dry-run 或 --verbose 获取有效 Diff
composer update --dry-run 只模拟执行，不生成新 composer.lock，所以无法 diff；--verbose 仅增加日志层级（如显示下载 URL、解包路径），不输出文件级变更内容。
- 常见误操作：以为
composer update -v能看到 diff，结果只看到一堆Downloading...日志 - 想看 vendor 内部文件变化？别直接 diff
vendor/：它体积大、二进制多、Git 会卡死；应聚焦composer.lock+ 人工抽检关键包的 CHANGELOG.md - CI 环境中建议加
git diff --exit-code composer.lock做校验，防止 lock 文件漏提交
真正的 Diff 不在 Composer 命令里，而在你对 composer.lock 的 Git 跟踪方式和后续分析习惯里。
