升级前须运行 composer outdated --direct 检查显式依赖，识别安全更新、主版本跳变及约束失效；禁用无参数 composer update，须指定包名与版本范围；composer.lock 是关键契约文件，不可删除或忽略，必须与 composer.json 同步提交。
升级前先看 composer outdated 输出什么
不加判断直接 composer update 是最常见翻车起点。真实项目里，composer outdated 能暴露三类关键信息：哪些包有安全更新、哪些主版本已跳变（比如 monolog/monolog 从 v1 升到 v3）、哪些包卡在旧约束里根本没被检测到（因为 require-dev 或 replace 干扰了依赖图）。执行时建议加 --direct 参数只看显式声明的依赖，避免被传递依赖带偏。
常见错误现象：composer outdated 没输出任何东西，但其实是因为 composer.json 里写了 "minimum-stability": "stable" + "prefer-stable": true，把候选更新全过滤掉了。这时候得临时改配置再跑一次。
- 生产环境升级前，必须用
composer show <package>确认当前安装版本和composer.json中声明的约束是否一致 - 如果项目用了
config.platform，outdated可能漏报——它按平台声明模拟环境，而非真实运行环境 - CI 中建议加
composer outdated --minor-only做每日检查，避开破坏性更新干扰
用 composer update 的时候必须锁死范围
composer update 默认更新所有包，连 phpunit/phpunit 这种开发依赖都可能升到不兼容版本，导致测试直接挂掉。真实维护中，升级必须明确指定包名或版本约束，哪怕只是小修小补。
使用场景举例：线上刚爆出 guzzlehttp/guzzle 的 CVE，但你不能直接 composer update guzzlehttp/guzzle，因为它的子依赖 psr/http-message 可能被连带升级到 v2，而你的代码还硬依赖 v1 的接口。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 只升一个包：用
composer update guzzlehttp/guzzle:^7.5，明确指定版本范围，而不是composer update guzzlehttp/guzzle - 升一组相关包：比如 Laravel 项目升级，应
composer update laravel/framework illuminate/*，避免漏掉配套组件 - 永远不要在生产部署脚本里写
composer update不带参数——CI/CD 流水线一旦出错，回滚成本远高于预防
composer.lock 文件不是“生成物”，是契约文件
很多团队把 composer.lock 当成可删可重生成的缓存文件，这是最大认知偏差。它实际是项目依赖的精确快照，包含每个包的 commit hash、PHP 扩展要求、甚至安装时的平台配置。删了重生成，等于放弃对依赖一致性的控制。
性能影响：composer install 读 composer.lock 是毫秒级操作；没有它，就得重新解析整张依赖图+下载元数据，CI 时间可能多出 2–5 分钟。
- Git 提交时，
composer.lock必须和composer.json同步提交，不能只提 json - 多人协作时，如果 A 升了
symfony/console，B 却没拉取新 lock 文件，composer install会装出不同版本，本地行为和 CI 不一致 - 安全扫描工具（如
security-checker）依赖 lock 文件里的 exact version，没有它就只能扫 json，漏报率极高
定期升级不是“每月跑一次 composer update”
自动化定时升级脚本（比如 GitHub Actions 每月触发）看似省事，实则掩盖问题。Composer 依赖升级的复杂度不在命令本身，而在 PHP 版本演进、扩展废弃（如 ext/mysql）、框架生命周期（Laravel 8 已不支持 PHP 7.2）、甚至操作系统级变化（macOS Sonoma 默认禁用 OpenSSL 1.1）。
真正可持续的维护节奏是分层推进：安全更新即时处理（用 composer audit 配合 Dependabot），次要版本按季度评估（重点看 changelog 里 BC break 标记），主版本升级单独立项（需配套测试覆盖、文档更新、回滚预案）。
- 别信 “自动合并 Dependabot PR” —— 它不会告诉你
doctrine/ormv3 升级后，$entity->getId()返回类型从int变成了int|string - PHP 大版本升级（如 8.1 → 8.2）前，必须先清空 vendor + 重跑
composer install，否则 lock 文件残留的旧平台约束会让某些包降级安装 - 最常被忽略的是
require-dev里的工具链：当phpstan/phpstan升到 v2，它可能要求 PHP 8.2，而你的生产环境还是 8.1 —— 这类冲突不会报错，只会让静态分析失效
