直接在 composer update 后加包名即可只更新该包及其满足版本约束的子依赖：composer update monolog/monolog；如需严格限制不更新任何子依赖，可用 --no-update-with-dependencies（Composer 2.2+），并确保其子依赖版本已满足新要求。
直接在 composer update 后加上包名即可，无需额外参数或配置。
只更新一个包（最常用）
运行以下命令，Composer 会仅更新指定包及其满足版本约束的依赖（不会升级其他已安装包）：
composer update monolog/monologcomposer update phpunit/phpunit
注意：该操作仍会检查并可能更新该包的子依赖（即其 require 中声明的、且当前 lock 文件中版本不满足新约束的包），但不会碰其他根级依赖。
排除其他包，确保“真正只动一个”
如果想严格禁止任何间接升级（比如防止某包的子依赖意外升到不兼容版），可配合 --with-dependencies 的反向理解——不加它，并确保该包的子依赖版本已在 composer.lock 中锁定且满足新版本要求。更稳妥的做法是：
One-click installation of GitHub projects
下载
GInstall OneClick — 一键安装 GitHub 项目：规划、克隆、安装 Node 依赖、运行开发脚本。适用于想要获取 GitHubNode.js 项目的用户。
- 先用
composer show monolog/monolog查看当前版本和可用更新 - 确认
composer.json中该包的版本约束（如"^2.8"）允许目标版本 - 执行
composer update monolog/monolog --no-install预览变更（不写入 vendor），再决定是否执行完整更新
更新时固定其他包版本（防意外联动）
若项目中多个包存在隐式兼容关系，为避免单包更新引发连锁反应，可临时“冻结”其余包：
- 运行
composer update monolog/monolog --with-all-dependencies—— 这会更新该包及其所有传递依赖（谨慎使用） - 或更精准地：
composer update monolog/monolog --no-update-with-dependencies（Composer 2.2+ 支持），明确禁用子依赖更新
该选项能真正实现“只改指定包”，前提是它的子依赖已满足新版本的 require 条件，否则会报错提示冲突。
验证更新结果
更新完成后，建议快速确认：
-
composer show monolog/monolog查看实际安装的版本 -
git diff composer.lock观察 lock 文件变动范围（应只涉及该包及其直系依赖行） - 运行关键测试，尤其是该包被使用的功能路径
不复杂但容易忽略。
