composer outdated 默认显示语义化版本兼容范围内可升级的包（如2.8.0→2.9.1），含当前版、最新稳定版及更新许可状态；加--all可查看主版本跃迁，--direct限根依赖，--minor-only排除主版本升级，--no-ansi避免颜色乱码。
composer outdated 会显示哪些包需要更新
执行 composer outdated 是最直接的方式，它列出所有已安装但存在新版本的包，包括主项目 require 的包和它们的依赖树中可升级的子依赖。默认只显示语义化版本中「次要版本」或「补丁版本」可升的包（如 monolog/monolog 从 2.8.0 → 2.9.1），不显示跨主版本的升级（如 2.x → 3.x），除非加 --major-only 或 --all。
常见误区是以为它只检查 root 包——其实它检查整个 vendor/ 树，但默认隐藏 dev 依赖和被锁死的包（即 composer.lock 中 version 字段固定、且 composer.json 里没写更宽松约束的包）。
- 加
--direct只看composer.json显式声明的包，排除传递依赖 - 加
--minor-only排除补丁级更新（如 1.2.3 → 1.2.4），只看次要版变动 - 加
--format=json适合脚本解析，但注意输出含颜色控制符，建议加--no-ansi
为什么 composer update 后 outdated 还有结果
这通常不是 bug，而是因为 composer update 默认只更新到 composer.json 中定义的版本约束所允许的最新版，而不是“绝对最新”。比如你写的是 "guzzlehttp/guzzle": "^7.2"，它就不会升到 8.x，哪怕 8.x 已发布。
另一个常见原因是 lock 文件未提交或被忽略，导致本地 vendor/ 和 composer.lock 不一致；或者团队成员用了不同版本的 Composer（如 2.2 vs 2.5），解析约束逻辑有细微差异。
- 运行
composer show guzzlehttp/guzzle查看当前安装版本和composer.json约束是否匹配 - 对比
composer show -s guzzlehttp/guzzle输出中的versions行，确认约束是否真能覆盖目标版本 - 检查
composer.lock里该包的version字段是否和vendor/下实际加载的composer.json一致
如何安全地验证更新后的兼容性
单纯跑 composer outdated 只告诉你“能升”，不告诉你“升了会不会崩”。真正关键的是验证行为变化，尤其是当你升级的是框架、ORM 或 HTTP 客户端这类基础包时。
Composer 本身不执行测试，但它提供了钩子和元信息辅助判断：升级前用 composer depends --tree 看谁依赖它；升级后用 composer validate 检查 composer.json 结构是否仍合法；更重要的是结合项目自身的测试套件。
- 对 Laravel 项目，升级
illuminate/support前先跑php artisan tinker测试常用 helper 是否报错 - 升级
symfony/console后，手动执行几个关键命令，观察InputInterface/OutputInterface行为是否变化 - 避免在 CI 中直接
composer update --dry-run就认为安全——它只校验依赖图，不加载类、不触发 autoloader
更新后 vendor/autoload.php 失效怎么办
这不是 outdated 的问题，但常发生在批量更新后：类找不到、Class not found、Cannot declare class 等错误。根本原因通常是 autoloader 缓存未刷新，或多个包注册了同名 PSR-4 namespace。
Composer 2.2+ 默认启用 classmap 生成优化，但某些包（尤其老旧的 WordPress 插件风格库）会绕过 autoload 机制直接 require，导致更新后路径错乱。
- 先删掉
vendor/autoload.php和vendor/composer/autoload_*.php，再跑composer dump-autoload - 如果用了
--classmap-authoritative，确保所有类都在 classmap 中，否则运行时会静默失败 - 检查
composer.json的autoload和autoload-dev是否混用了psr-4和files，后者在更新后容易因文件移动失效
真正麻烦的永远不是“怎么升”，而是“升完谁调用了什么方法、返回值类型变了没有、异常类是不是挪地方了”——这些得靠代码搜索和测试覆盖，不是 outdated 能告诉你的。
