唯一可靠方式是 composer update vendor/package-name，如 monolog/monolog；必须写全包名，仅更新该包及其直系依赖，不触发全量更新，其他写法易失效或引发意外升级。
composer update vendor/package-name 是唯一可靠写法
想只更新一个包，就老老实实写全名，比如 composer update monolog/monolog。这不是权宜之计，是 Composer 原生支持的正统方式。其他看着像的写法基本都失效或触发全量更新：
-
composer update monolog（漏掉/monolog）→ Composer 找不到匹配项，静默 fallback 到无参数行为，等于全量更新 -
composer update "monolog/monolog"（加引号）→ shell 可能吞掉引号，实际执行变成composer update -
composer require monolog/monolog --update-with-dependencies→ 这是“假装新增再安装”，会重算整个依赖图，不是更新已有包
必须确保包已声明在 composer.json 的 require 或 require-dev 里；如果是间接依赖（没出现在 composer.json 中），这个命令无效。
为什么更新后别的包也变了？这正常
执行 composer update monolog/monolog 后，guzzlehttp/guzzle 或 psr/log 版本变了，不是 bug，是依赖求解的必然结果。只要变动的是目标包的**直系依赖**，且旧版本无法满足它新版本的 require 字段，Composer 就必须升级。
- 例如
monolog/monolog:^3.0明确要求"symfony/console": "^6.2"，而你composer.lock里是6.1.0，那symfony/console就得升 - 这种连带升级不能关掉，它是语义化版本 + 依赖约束的逻辑产物
- 想预判影响范围：先跑
composer show monolog/monolog看它的require列表；或加--dry-run：composer update monolog/monolog --dry-run
想升到特定版本，不能直接写 :3.0.0
composer update monolog/monolog:3.0.0 这种写法无效，Composer 不支持命令行直接指定版本更新。要锁定版本，必须两步走：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 手动编辑
composer.json，把对应字段改成目标值，例如："monolog/monolog": "3.0.0" - 再执行
composer update monolog/monolog（注意仍要带包名，否则又变全量）
如果只是小版本微调（如 2.8.1 → 2.8.3），且约束没变（仍是 "^2.8"），通常不需要改 composer.json，直接 composer update monolog/monolog 就够了。
更新完一定要看 composer.lock 的 diff
执行完命令后，别只信终端输出。运行 git diff composer.lock，确认只改了目标包及其直系依赖的条目。重点关注：
-
packages下该包的version、source、dist字段是否变化 -
packages-dev区块是否也被动改动（常见于 dev-only 包被连带升级） - 其他顶层包（如
laravel/framework）的记录是否完全没动
锁文件变化越小，越容易 code review；但别假设“只改了一行”——Composer 对依赖树的重解有时比表面看起来更深入。
