composer update --dev 不是“只更新 dev 包”，而是忽略 require、仅重算并更新 require-dev 及其全部依赖树（含传递依赖），如 phpunit/phpunit 升级可能连带推高 symfony/console 至 v6；若要只更新单个开发依赖，必须显式指定包名并加 --dev，如 composer update phpunit/phpunit --dev，且该包须在 require-dev 中声明。
composer update --dev 只更新开发依赖？不，它不是“只更新 dev 包”
直接运行 composer update --dev 并不会限制为“只更新 require-dev 里的包”，而是会更新 所有 开发依赖（即 require-dev 中声明的包）及其全部依赖树，同时 完全忽略 require 中的生产依赖。它不碰 monolog/monolog 或 laravel/framework 这类生产包，但会连带升级它们的子依赖（如果被 dev 包间接拉入）。
- 常见错误：以为
composer update --dev是“安全模式”，结果phpunit/phpunit升级导致symfony/console被推到 v6，而生产代码里还用着 v5 的命令行接口——报错却发生在 CI 构建阶段 - 该命令仍会重算整个
require-dev依赖图，composer.lock中所有 dev 相关条目都可能变动，包括传递依赖（如myclabs/deep-copy、sebastian/exporter） - 如果你的
require-dev里有laravel/pint，而它 requirephpstan/phpstan，那phpstan也会被一并更新——哪怕你只想升phpunit - 不加包名时，
--dev是全局开关，不是过滤器；它不会跳过某个 dev 包，也不会保留其他 dev 包的旧版本
想只更新某一个开发依赖，比如 phpunit/phpunit
必须显式指定包名，且带上 --dev 标志：
composer update phpunit/phpunit --dev
这表示：只重解 phpunit/phpunit 及其满足版本约束的子依赖（如 sebastian/version），其余所有 require-dev 包（比如 nunomaduro/collision）和全部 require 包保持不动。
- 关键前提：该包必须出现在
composer.json的require-dev区块中；如果只是某个生产包的子依赖（例如guzzlehttp/guzzle被laravel/frameworkrequire），--dev对它无效 - 若执行后没变化，先检查
composer show phpunit/phpunit和composer show -a phpunit/phpunit，确认是否有更高版本可选；再看composer.json中约束是否太紧（如写死"phpunit/phpunit": "9.6.15"） - 不要写成
composer update --dev phpunit/phpunit（顺序颠倒）——某些 shell 会把phpunit/phpunit当作独立命令参数丢弃，实际执行变成纯--dev全量更新
为什么 composer update --dev monolog/monolog 会失败
因为 monolog/monolog 不在 require-dev 中，而是在 require 里。Composer 会立刻报错：
Package monolog/monolog is not required in your composer.json (require-dev section).
这不是权限问题，是语义校验：Composer 强制区分依赖作用域。
- 若硬要更新一个本属生产依赖的包，但又不想动其他生产包，就别加
--dev，直接composer update monolog/monolog - 想“假装”它是 dev 包来绕过约束？别用
composer require monolog/monolog:^3.0 --dev --update-with-dependencies——这会把它写进require-dev，污染生产环境依赖声明，后续composer install --no-dev可能漏掉关键日志组件 - 临时方案：改
composer.json把它移到require-dev，跑完 update 再移回去（需 git 暂存 + 手动恢复），但风险高，CI 中不可行
预览变更比盲目执行更可靠
无论是否带 --dev，只要涉及更新，务必先加 --dry-run：
composer update phpunit/phpunit --dev --dry-run
输出里若出现 downgrading sebastian/environment 或 removing doctrine/instantiator，说明 PHPUnit 新版已废弃某些接口，你的测试用例很可能挂掉。
-
--dry-run不修改composer.lock，也不下载任何文件，纯文本分析 - 注意输出中的
Root package行——它告诉你这次操作是否真的只覆盖了预期范围 - 如果看到大量非
phpunit相关的包被列出，说明它的依赖树比你想象中更深，或者有其他 dev 包对它做了版本锁定（可用composer why phpunit/phpunit查）
真正容易被忽略的是：即使你只敲了 composer update phpunit/phpunit --dev，Composer 仍会检查整个 require-dev 的兼容性，一旦发现冲突（比如两个 dev 包分别 require symfony/yaml ^5.4 和 ^6.0），它会直接拒绝执行，而不是只升其中一个——这时候得靠 composer why-not symfony/yaml ^6.0 定位拦路虎。
