composer update vendor/package-name是唯一可靠方式，仅更新指定包及其必需直系依赖，不改写composer.json、不触发全量更新，必须用完整包名且不加引号或参数。
composer update vendor/package-name 是唯一可靠方式
想升级单个包，别犹豫，直接敲 composer update vendor/package-name，比如 composer update monolog/monolog。这不是“推荐做法”，是 Composer 唯一真正支持的单包升级路径。其他写法要么静默 fallback 到全量更新，要么被 shell 解析失败。
常见翻车点：
-
composer update monolog（漏掉/monolog）→ 找不到匹配项，直接全量更新 -
composer update "monolog/monolog"（加引号）→ 某些 shell 把它当字符串丢弃，等效于composer update -
composer require monolog/monolog --update-with-dependencies→ 不是升级，是假装新增再安装，会重写composer.json约束，后续install行为可能变
为什么 symfony/console 这种包也会跟着升
不是命令失效，是依赖图合法性的强制结果。如果 monolog/monolog:^3.0 的 composer.json 明确声明 "symfony/console": "^6.2"，而你 composer.lock 里还是 6.1.0，Composer 必须升它——否则整个依赖树不满足要求。
这种连带升级无法关闭，但可以预判：
- 运行
composer show monolog/monolog查它的require列表 - 加
--dry-run：执行composer update monolog/monolog --dry-run，看终端输出里列了哪些包 - 检查
git diff composer.lock，只应出现packages下monolog/monolog及其直系依赖的version、dist字段变化
想升到特定版本，但 composer update vendor/pkg:3.0.0 报错
composer update vendor/package:3.0.0 是无效语法，Composer 不支持命令行直接指定版本升级。要锁定版本，必须两步走：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 手动编辑
composer.json，把对应包的版本字段改成目标值，例如："monolog/monolog": "3.0.0" - 再执行
composer update monolog/monolog
注意：改完 composer.json 后，如果漏掉包名直接跑 composer update，会按新约束全量重算，不是只动这一个包。
更新后发现别的包也变了，正常吗
正常，只要变化的是目标包的直系依赖，且旧版本无法满足新版本的 require 声明。比如 monolog/monolog:^3.0 要求 psr/log 至少 ^2.0，而你 lock 里是 1.1.4，那它必须升。
但如果你看到 laravel/framework 或 guzzlehttp/guzzle 也被更新了，大概率是命令敲错了——确认是不是少写了包名，或者用了空格/引号导致 shell 解析异常。
真正容易被忽略的点是：Composer 不管你是 dev 还是 prod 依赖，只要没加 --dev，require-dev 里的包就不会被 touch；而包名大小写不符（如 Monolog/monolog）也不会报错，而是静默 fallback 全量更新。
