唯一可靠方式是执行composer update vendor/package-name，如composer update monolog/monolog；它仅按composer.json约束更新该包及其未被锁死的直系依赖，不改动其他顶层包。
直接执行 composer update vendor/package-name 是唯一可靠方式
想只更新一个包，就老老实实敲全名，比如 composer update monolog/monolog。它不会动 laravel/framework、guzzlehttp/guzzle 这类其他顶层包，哪怕它们也在 composer.json 里。Composer 只解析这个包的版本约束（如 "^2.8"），拉取满足该约束的最新兼容版，并顺带升级它**直接声明且未被锁死**的子依赖（比如 psr/log 若需升到 ^2.0 才能装 monolog 2.10，就会升）。
常见错误包括：
• 漏写 vendor/ 前缀，如 composer update monolog → Composer 找不到匹配项，静默 fallback 到全量更新
• 加引号，如 composer update "monolog/monolog" → 某些 shell 会忽略参数，等效于无参执行
• 包名大小写不符（如 Monolog/monolog）→ 同样找不到，触发全量更新
composer update 连带升级了别的包，正常吗
只要变动的是目标包的**直系依赖**，且旧版本无法满足其新 require 声明，就完全正常。这不是失控，而是依赖求解的必然结果。
例如：
• monolog/monolog:^3.0 的 composer.json 明确声明 "symfony/console": "^6.2"，而你 composer.lock 里是 6.1，那 symfony/console 必须升
• 如果 psr/log 同时被 laravel/framework 和 monolog/monolog 使用，且新 monolog 要求 ^2.0，而 laravel 兼容该版本，Composer 就会升级它
• 但若 laravel/framework 锁死 psr/log 在 ^1.1，而 monolog:^3.0 要求 ^2.0，则整个命令会失败，提示冲突
如何预判和验证实际影响范围
别信终端输出的“Updating xxx”列表，它可能省略中间依赖。真正可靠的判断方式只有两个：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
• 执行 composer update monolog/monolog --dry-run，看输出中是否出现你没打算动的顶层包（尤其是 symfony/、laravel/、phpunit/）
• 升级后立即 git diff composer.lock，只应看到：
– packages 或 packages-dev 下对应包名的 version、source、dist 字段变化
– 若一堆无关包也变了，大概率你漏写了包名或用了带空格的引号
想升到特定版本，但 composer update vendor/package:3.0.0 报错
Composer 不支持命令行直接指定版本更新（该语法无效）。要锁定版本，必须两步走：
• 手动编辑 composer.json，把对应包的版本字段改成目标值，例如："monolog/monolog": "3.0.0"
• 再运行 composer update monolog/monolog
注意：
• composer require vendor/package-name:^3.0 不等于精准升级——它会重算整个依赖图，可能顺带升级 psr/log、PHP 扩展要求等无关项
• 如果该包在 composer.json 里根本没声明（比如是某依赖的依赖），require 会把它提到根级，改变依赖结构层级
git diff composer.lock 是唯一能确认是否真只动了目标包的方式。
