直接运行 composer update vendor/package-name 是唯一可靠方式，仅更新 composer.json 中已声明的指定包及其必要直系依赖，不改动其他包；必须用完整包名（如 monolog/monolog），不可加 --only 等无效参数。
直接运行 composer update vendor/package-name 就行
这是 Composer 原生支持的唯一可靠方式，不需要加任何 flag，也不需要额外配置。比如要更新 Monolog，就写 composer update monolog/monolog；要更新 Guzzle，就写 composer update guzzlehttp/guzzle。
它只作用于 composer.json 的 require 或 require-dev 区块里**已明确声明**的包。如果包名写错、拼写不全（如漏掉 vendor 段），或者该包只是某个依赖的子依赖（没出现在你的 composer.json 里），命令会静默成功但什么也不做，或直接报错 Package xxx is not required in your composer.json。
- 必须用完整包名，格式为
vendor/name，不能只写monolog - 不加引号，避免 shell 解析错误（如
composer update "monolog/monolog"可能被忽略参数） - 执行后只会改
composer.lock中该包及其直系依赖中被新版本显式 require 的部分，其他包版本记录完全不动
composer update 为什么会连带升级其他包
不是 bug，是依赖求解机制决定的：Composer 必须保证整个依赖图依然满足所有 composer.json 中的约束。所以当你运行 composer update monolog/monolog，如果新版本的 monolog 要求 psr/log ^2.0，而你当前锁的是 1.1.4，那 psr/log 就会被一并升级——前提是它没被其他顶层包硬锁死。
- 若
symfony/console和monolog/monolog都依赖symfony/polyfill-php80，且后者在composer.json中未显式声明，那么只有当 monolog 新版明确 require 更高版 polyfill 时，它才会动 - 想最小化变更？先用
composer show monolog/monolog看它的require字段，再比对当前锁住的子依赖版本 - 别指望
--with-dependencies——它在 Composer 2.2+ 已被移除，加了会报错Unrecognized option
为什么不用 composer require vendor/package:version 替代
composer require 是修改 composer.json 的版本约束，再触发一次 install 流程，行为和 update 有本质区别。它可能重算整个依赖图，甚至把原本是子依赖的包提到根级，污染项目结构。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 当前
"monolog/monolog": "^2.8"，你想升到^2.10，直接composer update monolog/monolog即可；用composer require monolog/monolog:^2.10则会先改composer.json，再 install，容易意外拉高其他包 - 如果目标版本超出当前约束范围（如从
^2.8强升^3.0），require会失败并提示Your requirements could not be resolved，而update不会尝试突破约束 -
composer require默认带--update-with-dependencies？不存在。这个参数根本不在官方文档和源码里，一加就报Unknown option
安全试跑和 CI 中的关键注意点
在改生产环境前，最有效的验证方式是让 Composer 自己告诉你“这次会动什么”。用 --dry-run + -n 组合，例如：
composer update monolog/monolog --dry-run -n
输出里如果出现大量非预期包，尤其是 downgrading 或 removing，基本等于接口不兼容。CI/CD 中尤其要警惕：缓存、并发、PHP 版本差异都可能导致 --dry-run 输出和实际执行不一致，不能当作判断依据。
- 真正稳妥的做法是：开新分支 →
git checkout -b try-update-monolog→ 执行 update → 测试通过再合并 - 每次 update 后务必
git diff composer.lock扫一眼，确认没带进无关变更，特别是packages-dev区块 - CI 流水线里禁止裸跑
composer update，也慎用--ignore-platform-reqs—— lock 文件可能生成不一致，导致构建在不同节点上结果不同
最容易被忽略的其实是包是否真的被项目直接 require。很多人卡在“执行了命令但版本没变”，翻半天才发现那个包压根没写在自己的 composer.json 里，只是 laravel/framework 拉进来的子依赖。这种情况下，要么手动加到 require，要么接受它由上游包控制版本。
