composer update 是重建依赖图而非安全更新，忽略 composer.lock 重算全部依赖；必须指定包名（如 composer update monolog/monolog）才可控，否则易引发静默故障。
composer update 不是“更新”，是重新协商依赖图
直接执行 composer update 会忽略 composer.lock，完全重算整个依赖关系，按 composer.json 中的约束拉取当前最新兼容版本。这不是安全更新，而是重建依赖快照——哪怕只改了一个补丁号，也可能触发底层行为变更（如 Guzzle 默认超时从 30s 缩为 5s），上线后静默出问题。
必须带包名才可控：
-
composer update monolog/monolog：只升该包及其直系依赖（比如它 require 的psr/log或symfony/console） -
composer update laravel/framework illuminate/support：可一次升多个显式声明的包 -
composer update --dev phpunit/phpunit：仅处理require-dev区块里的包
以下写法都危险：
-
composer update monolog（漏掉/monolog）→ Composer 找不到匹配项，静默 fallback 到全量更新 -
composer update "monolog/monolog"（加引号）→ shell 可能吞掉引号，实际执行成composer update -
composer require monolog/monolog --update-with-dependencies→ 是“假装新增再安装”，会重算整张依赖图
版本约束怎么写，决定了更新范围
约束不是越宽越好，也不是越死越好。关键看你想让谁决定升级节奏：
-
"monolog/monolog": "^3.0"：允许 3.x 全系列更新（含 3.9.0），但不会升到 4.0；Composer 2.2+ 默认行为 -
"monolog/monolog": "~3.0.0"：等价于>=3.0.0 && ，只允许补丁升级（如 3.0.0 → 3.0.5） -
"monolog/monolog": "3.0.0"：精确锁定，composer update monolog/monolog也不会动它
常见误判：
- 以为
^2.8升级后还是 2.8.x → 实际可能跳到 2.9.0（次版本兼容） - 没注意
minimum-stability设置，导致composer outdated看不到预发布版的安全更新 - 在
conflict字段里写错格式（如漏掉引号），约束不生效
为什么更新一个包，别的包也变了？
这正常，不是 bug。只要变动的是目标包的直系依赖，且旧版本无法满足它新版本的 require 字段，Composer 就必须升级。例如：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
monolog/monolog:^3.0要求"symfony/console": "^6.2" - 而你
composer.lock里是6.1.0 - 那
symfony/console就得升到6.2.0或更高
这种连带升级不能关掉，它是语义化版本 + 依赖约束的逻辑产物。想预判影响范围：
- 先跑
composer show monolog/monolog看它的require列表 - 或加
--dry-run：composer update monolog/monolog --dry-run
更新完一定要看 git diff composer.lock，确认只改了目标包及其直系依赖的条目，尤其注意 packages-dev 是否也被动改动。
想升到特定版本，不能靠命令行参数
composer update monolog/monolog:3.0.0 这种写法无效。Composer 不支持命令行直接指定版本更新。要锁定版本，必须两步走：
- 手动编辑
composer.json，把对应字段改成目标值，例如："monolog/monolog": "3.0.0" - 再执行
composer update monolog/monolog（注意仍要带包名，否则又变全量）
如果只是小版本微调（如 2.8.1 → 2.8.3），且约束没变（仍是 "^2.8"），通常不需要改 composer.json，直接 composer update monolog/monolog 就够了。
真正容易被忽略的点是：更新后 vendor/autoload.php 失效，90% 不是包没装对，是自动加载映射没重建。执行 composer dump-autoload -o 即可生成优化后的静态映射。如果用了自定义 PSR-4 命名空间，顺手检查下 composer.json 的 autoload 段是否被意外覆盖或缩进错乱。
