composer update不是“更新”而是“重协商”，因为它默认忽略composer.lock，完全基于composer.json的版本约束重新计算整个依赖图，不检查当前已装版本，只求解理论上最新兼容版本，可能导致隐式不兼容变更。
composer update 为什么不是“更新”而是“重协商”
因为 composer update 默认忽略 composer.lock，完全基于 composer.json 中的版本约束重新计算整个依赖图——它不检查当前装了什么，只看“理论上最新能装啥”。哪怕你只改了一行 "guzzlehttp/guzzle": "^7.2"，它也可能把 psr/http-client 从 1.0.3 升到 1.1.0，而后者在 PHP 8.0 下触发了一个未声明的扩展依赖，上线后才报 Class "Psr\Http\Client\ClientInterface" not found。
怎么让 Composer 真正“按约束走”，而不是凭运气选版本
关键不在命令参数，而在 composer.json 的写法和执行路径：
- 用
^而非~或*：例如"monolog/monolog": "^2.10"允许2.x内任意升级，但绝不会跨到3.0；"~2.10.0"则只允许2.10.x补丁级更新，太窄，容易卡死 - 显式加
"prefer-stable": true：防止 Composer 在找不到稳定版时退而求其次拉dev-main或alpha版本 - 执行前必须跑
composer outdated --direct：它只列出你require声明的包，不混入传递依赖，一眼看出哪些有安全更新（标[security]）、哪些已悄悄跳主版本（如symfony/console 5.4 → 6.4） - 禁止无参数
composer update：CI/CD 脚本里出现这行，等于主动放弃可重现性
遇到 “found x packages with version constraints that differ” 怎么定位真因
这不是网络或缓存问题，是依赖树里存在互斥约束。直接查比猜快：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer why-not vendor/package:version（例如composer why-not monolog/monolog:2.9.0），它会输出谁在阻止这个版本、在哪一行composer.json声明了冲突约束 - 用
composer prohibits vendor/package:version查所有阻塞该版本的依赖路径，常能发现某个 dev 包写了"monolog/monolog": "^1.0"却没发正式版 - 检查是否误用了
replace：比如你写了"replace": {"monolog/monolog": "*"}，Composer 就认为它“已存在”，后续任何require都会被忽略 - 别信
composer show的输出：它显示的是已安装版本，不是约束范围；要确认约束，得翻composer.json里那行"monolog/monolog": "..."
锁死一个包后，为什么 composer outdated 还提示有更新
这是正常行为，不是 bug。当你把版本写成纯数字（如 "nesbot/carbon": "2.85.0"），Composer 就只认这个 exact 版本，composer update 不会动它，但 outdated 仍会扫描 Packagist 并报告“有 2.86.0 可用”。
真正要注意的是：composer update nesbot/carbon 不会升级它，但 composer update --with-all-dependencies 可能连带升级其子依赖（如 symfony/polyfill-mbstring），间接导致 Carbon 行为变化——这种隐式影响最容易被忽略。
