dependabot 是唯一开箱即用的自动 pr 方案，它仅根据 composer.json 约束查 packagist 最新兼容版本并生成纯版本号更新的 pr，不执行 composer update、不修改 composer.lock；.github/dependabot.yml 路径与配置必须精准，子目录项目需显式声明 directory，pr 合并后需在 ci 中运行 composer update --lock --no-install 同步 lock 文件。
Dependabot 是唯一开箱即用的自动 PR 方案
Composer 本身不提供监控或自动 PR 功能，composer outdated 只是快照比对命令，不持续运行、不发通知、不写 Git 提交。真要实现「发现更新 → 创建 PR」闭环，必须依赖 GitHub 原生的 Dependabot（或 Renovate）。
它只做三件事：读取 composer.json 中的约束（如 "guzzlehttp/guzzle": "^7.5"），查 Packagist 上当前满足该约束的最新版本，生成仅修改该行版本号的 Pull Request。它从不执行 composer update，也不碰 composer.lock。
-
.github/dependabot.yml必须存在且路径准确——写成dependabot.yaml或放错目录（如.github/workflows/下）都会静默失效 -
package-ecosystem: "composer"是唯一有效值，填php或packagist将被忽略 - 子目录项目（如
packages/foo/composer.json）必须显式写directory: "/packages/foo"，否则 Dependabot 根本找不到文件 - PR 合并后
composer install报错？因为composer.lock没同步——CI 中必须加composer update --lock --no-install才能重写 lock 文件
GitHub Actions 定时触发 composer outdated + 脚本判断是否需 PR
如果你无法用 Dependabot（比如私有仓库未接入 Packagist，或需要自定义升级逻辑），就得自己搭轻量监控。核心是绕过 Composer 的“无后台进程”限制，用外部调度器驱动。
常见错误是直接在 crontab 里写 composer outdated ——crontab 默认 shell 是 /bin/sh，而 Composer 依赖 bash 特性（如进程替换、数组语法），会报错或静默失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确写法：用
bash -c "cd /path/to/project && composer outdated --direct --minor-only --format=json --no-dev 2>/dev/null" - 输出是 JSON，含
latest-status字段（"patch"/"minor"/"major"），可脚本解析后决定是否调用gh pr create或git push - 注意网络限流：频繁调用会触发 Packagist 的 rate limit，建议加缓存（如本地存一份元数据副本，每日凌晨更新一次）
- 私有包必须提前配置
repositories，否则outdated对它们完全无感知
composer audit 和 composer show -s 才是真实变更信号源
composer outdated 只管语义化版本号，但真正影响项目行为的是三类信号：可升版本、安全漏洞、代码级变动。这三者不能混为一谈。
- 安全漏洞必须用
composer audit单独扫——它查的是已安装包是否落在 CVE 影响范围内，和你写的约束无关；要求 PHP ≥ 8.1 且 Composer ≥ 2.5，旧版本直接报错 -
composer show -s vendor/package返回真实source.url，之后才能去 GitHub/GitLab 查 Release Notes 或 CHANGELOG，确认某次 patch 是否含行为变更（如symfony/console v5.4.32修复了参数解析逻辑） - 写死版本（如
"monolog/monolog": "2.8.0"）不会出现在outdated结果里，但audit仍会报漏洞，show -s仍能查到新 tag -
--no-dev不是可选项——开发依赖（如phpunit/phpunit）升级可能让测试挂掉，但通常不构成线上风险，应单独建 workflow 监控
CI 中处理 lock 文件变更的实际逻辑
很多团队误以为「只要 composer.lock 变了，就要跑测试」，但更关键的是：这个变更是否来自你控制的升级动作？还是 CI 自动 fallback 导致的意外覆盖？
GitHub Actions 的 paths 过滤不支持跨文件 diff，所以不能靠声明式配置，得用脚本判断：
- 用
git diff --quiet HEAD^ HEAD -- composer.lock判断 lock 是否被提交改动（注意：不是有没有变化，而是有没有被 git track 并 commit） - 若变了，再跑
composer install --no-interaction，而非--dry-run——后者不写 vendor，后续phpunit会直接报Class not found - 想区分 require 和 require-dev 变更？得用
jq解析前后两版 lock 的packages和packages-dev字段差异，不能只看文件是否修改 - CI 中固定 PHP 版本（如
php-version: '8.2'），否则ext-mbstring等扩展可用性波动会让测试结果不可靠
实际落地最易被忽略的点：Dependabot 不生成 composer.lock 更新，Renovate 默认也不干这事；而自己写的 cron 脚本若没处理好 shell 环境和权限，composer.lock 写入失败时往往没有明确错误日志，只表现为 PR 里版本号改了但 CI 直接挂掉。
