Composer update 默认更新全部包是因为它会读取 composer.json 中所有依赖并升级到符合约束的最新版本，以确保依赖图一致性；只更新单个包需显式指定完整包名如 monolog/monolog。
Composer 只更新单个包，直接运行 composer update vendor/package-name 即可，不需要额外配置或插件。
为什么 composer update 默认会更新全部包
Composer 的 composer update 命令默认读取 composer.json 中所有依赖声明，并尝试将它们升级到符合版本约束的最新可用版本（包括其子依赖）。这不是 bug，而是设计行为——它确保整个依赖图的一致性。
如果你只想更新某一个包，必须显式指定它的完整包名（vendor/name），否则 Composer 会按默认逻辑全量更新。
composer update 指定包名的正确写法
语法非常简单，但容易因格式错误失败：
- 必须使用完整的包名，例如
monolog/monolog、phpunit/phpunit，不能只写monolog - 多个包用空格分隔，例如：
composer update doctrine/dbal laravel/framework - 支持通配符（需引号包裹）：
composer update "symfony/*"（注意 shell 引号防止被提前解析） - 如果包名含特殊字符（如点号），仍按实际注册名写，例如
my-vendor/my.package—— Composer 包名允许点号，但必须原样输入
常见失败原因和应对方式
执行后报错或没反应？多数情况是以下几种：
-
Package not found：包名拼错，或该包根本不在composer.json的require或require-dev中 —— Composer 不会安装未声明的包，只更新已声明的 - 更新后版本没变：当前锁定版本已满足
composer.json中的版本约束（如写的是"^2.0"，而2.0.5已是最新的兼容版） - 依赖冲突：目标包的新版本要求更高版本的 PHP 或其他依赖，而本地环境不满足 —— 此时 Composer 会回退并提示 conflict 信息，要看清具体哪条约束被违反
- 忘记加
--with-dependencies：某些包升级后，其子依赖（如psr/log）可能也需要同步调整才能满足新版本要求；默认不更新这些间接依赖，加该参数可一并处理
更新单个包时要不要删 composer.lock
完全不需要。Composer 的更新机制基于 composer.lock 和 composer.json 联动计算，删 lock 文件会导致整个依赖树重新解析，等效于全量重装，违背“只更新单个包”的初衷。
真正要注意的是：如果你手动改过 composer.json 中某个包的版本号（比如从 "^3.2" 改成 "^3.3"），再运行 composer update vendor/package，Composer 才会尊重这个新约束去拉取匹配版本；否则它只在原有约束范围内找最新版。
复杂点在于，有些包的次要更新（如 dev-master 切换）可能触发大量间接依赖变动，表面看是“单个包”，实际影响面不小 —— 这时候建议先 composer show vendor/package 看当前版本和依赖树，心里有数再操作。
