composer update没反应是因为版本约束锁死：精确版本（如"2.8.0"）或跨主版本约束（如"^2.9"下有3.0.0）导致无法升级，或被其他依赖（如laravel/framework要求symfony/console^5.4）硬性锁定；应运行composer show monolog/monolog比对versions与installed字段确认匹配性。
换中文镜像本身不改变任何包版本，更新依赖仍需明确执行 composer update 或 composer install，镜像只加速下载过程。
为什么 composer outdated 显示有更新，但 composer update 没反应？
这不是镜像问题，而是版本约束锁死了升级路径：
-
composer.json里写的是精确版本（如"monolog/monolog": "2.8.0"），composer update不会主动放宽约束 - 用了
^但新版本跨主版本（如^2.9下有3.0.0），outdated会标!，但update默认跳过 - 某个包被其他顶层依赖硬锁（例如
laravel/framework要求symfony/console^5.4），outdated会列出可升项，但update执行时直接冲突
验证方式：运行 composer show monolog/monolog，看 versions 行（允许范围）和 installed 行（当前装的）是否匹配预期。
如何安全地只更新一个包（比如 monolog/monolog）？
别用 composer update 不带参数，也别用 composer require 曲线救国——那是重装，不是更新：
- 精准命令是：
composer update monolog/monolog，它只动该包及其未被其他包锁死的直系依赖 - 若要连带刷新子依赖（比如
psr/log升级到兼容新版monolog的版本），加--with-dependencies - 若需递归更新整个依赖子图（含间接依赖如
symfony/polyfill-php80），用--with-all-dependencies - 注意：加了
--with-all-dependencies后，如果其他包锁了同一依赖的旧版，composer会报冲突，而不是静默跳过
CI/CD 中怎么避免镜像同步延迟导致误判？
中文镜像本质是缓存代理，元数据可能滞后（尤其凌晨），composer outdated 读的就是远程元数据：
- 临时绕过缓存：加
--no-cache，如composer outdated --no-cache - 切回官方源验证：先
composer config -g repo.packagist https://packagist.org，再跑outdated，完事再切回来 - 别只改项目级配置（
composer config repo.packagist），它会被全局配置覆盖，得用-g - CI 中必须配合
--dry-run：对目标包执行composer update monolog/monolog --dry-run，它会真实解析依赖图，暴露 PHP 版本不匹配、间接依赖冲突等outdated看不到的问题
全局包更新和项目包更新不能混用
全局包（如 laravel/installer、phpunit/phpunit）走的是独立路径，镜像设置对其生效，但命令不同：
- 查看已装全局包：
composer global show --direct - 更新单个全局包：
composer global require laravel/installer:^4.0（不是update） - 更新全部全局包：
composer global update（它读的是~/.composer/composer.json） - 注意：全局
composer.json里的版本约束同样决定能否升到目标版，手动改完后要composer global install才生效
镜像地址是否生效，用 composer config -g repo.packagist 看返回值；执行时加 -vvv 能确认请求发到了哪个 URL。真正容易被忽略的，是 --dry-run 和 --no-cache 这两个开关——它们不改变结果，但决定了你看到的是缓存假象，还是真实依赖状态。
