最常用方式是 composer update package-name，但会递归更新其所有子依赖；真正只更新目标包需用 --no-update-with-dependencies（5.0+）；若报“not required”错误，须先在 composer.json 中声明再更新。
只更新指定包，不碰其他依赖
直接运行 composer update package-name 是最常用的方式，但它隐含一个关键前提：Composer 会同时更新该包的**所有子依赖**（即递归更新），只要这些子依赖的版本约束允许。这不是“仅更新 package-name”，而是“更新 package-name 及其可升级的传递依赖”。如果想真正锁死其他依赖，必须配合 --with-dependencies 的反向操作——其实更可靠的做法是先用 composer show package-name 确认当前版本和约束，再执行：
-
composer update package-name --with-all-dependencies：显式声明要连带更新直系依赖（推荐，语义清晰） -
composer update package-name --no-update-with-dependencies：5.0+ 版本才支持，真正只动目标包（注意：若目标包的composer.json声明了冲突的 PHP 版本或扩展，仍可能失败） - 更新前加
-v查看详细依赖解析过程，避免误升间接依赖
更新到特定版本或分支
Composer 默认按 composer.json 中的版本约束拉取最新匹配版，但你常需要跳过约束强制指定。这时不能只写版本号，而要利用 require 的覆盖能力：
- 升级到固定版本：
composer require package-name:1.2.3 --update-with-dependencies（require会重写composer.json并触发更新） - 切到开发分支：
composer require package-name:dev-main --update-with-dependencies（注意dev-前缀和仓库是否启用"minimum-stability": "dev"） - 临时测试未发布版：用
composer require package-name:dev-feature-branch#commit-hash，但上线前务必改回稳定约束
跳过 autoload 重生成或脚本执行
某些 CI 场景下，你只想更新 lock 文件和 vendor 中的代码，不希望触发 autoload dump 或 post-update-cmd 脚本（比如脚本依赖尚未部署的环境变量）。Composer 提供了精准开关：
-
composer update package-name --no-autoloader：跳过vendor/autoload.php重建，后续需手动运行composer dump-autoload -
composer update package-name --no-scripts：屏蔽所有scripts钩子，包括post-update-cmd和自定义命令 - 两者可叠加使用；但若项目依赖自动加载类存在变动（如新增命名空间），
--no-autoloader会导致运行时报Class not found
解决“package-name is not required in your composer.json”错误
这个报错不是因为包不存在，而是 Composer 拒绝更新一个**未在 composer.json 中显式声明**的包（即使它出现在 composer.lock 里）。常见于历史遗留项目或通过 composer require 时漏加 --dev 导致包被写进 dev 依赖但实际要用在 prod。
- 先确认包是否在
composer.json的require或require-dev区块中：composer show -i | grep package-name - 若不在，补上再更新：
composer require package-name（自动识别环境）或composer require package-name --dev - 若确定要强行更新 lock 中已存在的非声明包（不推荐），可用
composer update package-name --with-dependencies --ignore-platform-reqs，但下次install会还原，属于临时绕过
真正稳定的更新逻辑，始终以 composer.json 的声明为唯一源头——lock 文件只是快照，不是权威。
