非核心依赖指未在业务逻辑中直接调用、仅被dev工具或测试框架间接引入、且长期无代码变更的包（如phpunit/phpunit）；可通过composer show --name-only | grep -e '^(phpunit|php-cs-fixer|behat|paratest)'快速识别，再用composer outdated --dev-only筛选可升级项，优先处理带!标记的主版本变更，并人工核验兼容性。
不能靠通配符或“一键全升”来批量更新非核心依赖，最安全的方式是先筛选、再显式指定、最后加 --with-dependencies 控制影响范围。
怎么识别哪些是非核心依赖
非核心依赖通常指：没在业务逻辑里直接调用、只被 dev 工具或测试框架间接拉入、或者长期没改过代码的包（比如 phpunit/phpunit、friendsofphp/php-cs-fixer、doctrine/instantiator）。它们不参与运行时主流程，但版本错位容易导致 CI 失败或本地开发环境不一致。
- 用
composer show --name-only | grep -E '^(phpunit|php-cs-fixer|behat|paratest)'快速列出常见 dev 工具类包名 -
composer outdated --dev-only只看require-dev下可升级项，过滤掉 runtime 依赖干扰 - 注意输出中带
!的行——比如phpunit/phpunit 9.6 → 10.0 !，这类必须人工核验是否真要升（PHPUnit 10 要求 PHP 8.1+） - 别信
composer show --all输出的“已安装”列表：它包含所有传递依赖，很多你根本没声明，update也不会理它们
批量更新命令怎么写才不翻车
直接拼包名是最稳的，但得确保每个包都已在 composer.json 的 require-dev 或 require 中显式声明。否则会报 Package xxx is not required in your composer.json。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确写法：
composer update phpunit/phpunit php-cs-fixer/php-cs-fixer behat/behat --with-dependencies -
--with-dependencies是关键：它只升这些包的直系子依赖（比如phpunit/phpunit依赖的sebastian/exporter），不会穿透到symfony/console这类无关分支 - 错误写法：
composer update "phpunit/*"→ 报错Could not find package phpunit/*，Composer 不解析* - Windows PowerShell 用户避免用
$()命令替换：composer update $(composer show --name-only | Select-String '^phpunit/')容易截断或失败，改用for /f循环或切 WSL
为什么不用 --with-all-dependencies 升非核心包
这个参数会让 Composer 重算整棵子树，包括那些你根本没意识到被连带影响的 runtime 包（比如 symfony/polyfill-php81 被 phpunit 拉进来，结果顺手把 symfony/http-foundation 也推高了）。对非核心包来说，这是过度操作。
-
--with-all-dependencies应只用于核心框架（如laravel/framework），非核心包用--with-dependencies更精准 - 性能上差异明显：
--with-dependencies通常毫秒级完成；--with-all-dependencies在复杂项目里可能卡 5–10 秒，还容易触发 SAT 求解超时 - 升级后务必立刻执行
composer dump-autoload -o：非核心包常含大量测试辅助类，autoload 缓存不刷新会导致Class not found错误，尤其在 PhpStorm 里表现隐蔽 - CI 流水线中漏掉
git diff composer.lock验证，可能把phpunit升到不兼容当前 PHP 版本的版本，测试全挂却查不出原因
自动化脚本里怎么安全提取非核心包名
手动列包名适合小项目，大项目建议用 shell 组合过滤，但得避开输出不稳定的风险点。
- 推荐命令：
composer show --name-only | grep -E '^(phpunit|php-cs-fixer|behat|paratest|roave/security-advisories)' | xargs -r composer update --with-dependencies -
xargs -r防止空输入时报错；grep -E用正则避免匹配到phpunit-mock-objects这类已废弃包 - Mac 用户若提示
xargs: illegal option -- r，换brew install findutils && gxargs -r - 加
--dry-run预览：composer update $(composer show --name-only | grep '^phpunit/') --with-dependencies --dry-run，确认只动预期包 - 别用
jq解析 JSON 输出：部分插件或自定义仓库会让composer show --format=json输出结构不一致，shell 管道更可靠
真正麻烦的不是命令怎么敲，而是升级后没人检查 composer.lock 里那些被连带改动的间接依赖行——它们藏在 diff 末尾，一眼扫过去就忽略，结果线上跑着跑着突然报 Undefined method ::createMock()，回头查才发现 phpunit/phpunit 升了，但 phpunit/phpunit-mock-objects 还卡在旧版， autoload 映射断掉了。
