直接运行 composer update vendor/package-name 可更新指定直连包及其必要子依赖，不改动其他依赖；若包为间接依赖，需确认是否在 composer.json 的 require 中声明，否则会报错“not required”。
composer update 只更新一个包，不是全局也不是全部依赖
直接运行 composer update vendor/package-name 就行。它不会碰其他包，也不会升级 composer.lock 里没变动的依赖树——前提是这个包确实被当前项目直接 require（即出现在 composer.json 的 require 字段里）。
常见错误现象：composer update foo/bar 没反应、版本没变、甚至报错 “Package foo/bar is not required in your composer.json”。这通常是因为该包是某个依赖的子依赖（transitive dependency），你没直接 require 它。
- 确认包是否直连：检查
composer.json的require区块有没有"foo/bar": "^1.2"这类条目 - 如果只是子依赖，想强制升级它，得加
--with-dependencies，但要小心——这会连带更新它的所有上游依赖，可能破坏兼容性 - 不推荐用
composer require foo/bar:^2.0 --update-with-dependencies来“假装新增再更新”，容易污染composer.json
遇到 “Your requirements could not be resolved” 怎么办
这是最常卡住的地方：你想升 monolog/monolog 到 ^3.0，但项目里另一个包硬锁了 psr/log 在 ^1.0，而 monolog 3.x 要求 psr/log ^2.0 —— Composer 直接拒绝，不给你绕过去。
这不是命令写错了，是依赖约束冲突。解决思路不是“跳过检查”，而是看清谁在拦路：
- 运行
composer why-not psr/log ^2.0，快速定位哪个包在阻止升级 - 用
composer show monolog/monolog看它实际支持哪些psr/log版本 - 如果必须升级，优先考虑降级拦路包（比如那个只认
psr/log ^1.0的包是否有新版支持 ^2.0） - 切忌加
--ignore-platform-reqs或--force硬上——lock 文件可能生成不一致，CI 构建会失败
update 单个包时，composer.lock 会怎么变
它只会更新该包及其**直接满足的新版本所需的所有子依赖**，其余部分保持原样。也就是说，lock 文件变化范围可控，但不是“只改一行”。
举个例子：你执行 composer update symfony/console，而新版本要求 symfony/polyfill-php80 从 ^1.20 升到 ^1.25，那么 lock 文件里这两个包都会动，但 phpunit/phpunit 一行都不会变。
- 每次 update 后建议
git diff composer.lock扫一眼，确认没意外带进别的变更 - 如果发现一堆无关包也变了，大概率是你漏看了
require-dev里的间接依赖，或者用了--with-all-dependencies - CI 流水线里务必提交更新后的
composer.lock，否则其他人composer install会装出不同版本
为什么有时候 composer update vendor/pkg 像没执行一样
最常见原因是：你本地已安装的版本，其实已经满足 composer.json 中声明的版本约束，Composer 认为“无需更新”。它不是按最新版拉，而是按约束表达式求解。
比如 "laravel/framework": "^10.0"，你本地已是 10.48.12，现在 10.48.13 发布了——composer update laravel/framework 不会动，因为 10.48.12 已满足 ^10.0。
- 想强制拉最新小版本，改约束为
"laravel/framework": "10.*"再 update，或临时用composer update laravel/framework --with-dependencies - 想看哪些包有可用更新，先跑
composer outdated，它会标出可升级项和当前/最新版本 - 别依赖 IDE 的“自动更新提示”，它往往只查 packagist.org，不校验本地约束是否已满足
真正难的不是命令怎么写，而是搞清当前项目的依赖图里，哪个包在 hold 住你想动的那个版本。多用 why 和 outdated，少试错硬刷。
