唯一可靠方式是执行composer update vendor/package-name，如composer update monolog/monolog，它仅更新该包及其未被锁死的直系依赖，不改动其他顶层包；连带升级直系依赖属正常行为，由目标包的require声明与lock文件版本匹配关系决定。
直接运行 composer update vendor/package-name 是唯一可靠方式
想只更新一个包，比如 monolog/monolog，就老老实实敲全名：composer update monolog/monolog。它不会碰 laravel/framework、guzzlehttp/guzzle 这类其他顶层包，哪怕它们也在 composer.json 里。Composer 只解析这个包的版本约束（如 "^2.8"），拉取满足该约束的最新兼容版，并顺带升级它**直接声明且未被锁死**的子依赖（比如 psr/log 若需升到 ^2.0 才能装 monolog 2.10，就会升）。
常见错误包括：
- 漏写
vendor/前缀，如composer update monolog→ Composer 找不到匹配项，静默 fallback 到全量更新 - 加引号，如
composer update "monolog/monolog"→ 某些 shell 会忽略参数，等效于无参执行 - 包名大小写不符（如
Monolog/monolog）→ 同样找不到，触发全量更新
composer update 连带升级了别的包，正常吗
只要变动的是目标包的**直系依赖**，且旧版本无法满足其新 require 声明，就完全正常。这不是失控，而是依赖求解的必然结果。
例如：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
monolog/monolog:^3.0的composer.json明确声明"symfony/console": "^6.2"，而你composer.lock里是6.1，那symfony/console必须升 - 如果
psr/log同时被laravel/framework和monolog/monolog使用，且新monolog要求^2.0，而laravel兼容该版本，Composer 就会升级它 - 但若
laravel/framework锁死psr/log在^1.1，而monolog:^3.0要求^2.0，则整个命令会失败，提示冲突
怎么预判和验证实际影响范围
别信终端输出的“Updating xxx”列表，它可能省略中间依赖。真正可靠的判断方式只有两个：
- 执行
composer update monolog/monolog --dry-run，看输出中是否出现你没打算动的顶层包（尤其是symfony/、laravel/、phpunit/） - 升级后立即
git diff composer.lock，只应看到：
–packages或packages-dev下对应包名的version、source、dist字段变化
– 若一堆无关包也变了，大概率你漏写了包名或用了带空格的引号
想升到特定版本，但 composer update vendor/package:3.0.0 报错
Composer 不支持命令行直接指定版本更新（该语法无效）。要锁定版本，必须两步走：
- 手动编辑
composer.json，把对应包的版本字段改成目标值，例如："monolog/monolog": "3.0.0" - 再运行
composer update monolog/monolog
注意：如果原约束是精确版本（如 "monolog/monolog": "2.9.0"），composer update monolog/monolog 什么也不会做——它被锁死了。必须先改成松散约束（如 "^2.9"）再执行。
真正容易被忽略的是：连带升级是否发生，不取决于你加不加参数，而取决于目标包自身的 require 声明与当前锁文件中依赖版本的匹配关系。哪怕你什么参数都不加，只要它的新版本 require 更高版的 symfony/console，而你锁的是低版本，它就一定会升——这是语义化版本 + 依赖求解机制决定的，不是误操作。
