执行 composer update monolog/monolog --with-all-dependencies 可安全升级指定包及其所有层级依赖（如 psr/log），避免因子依赖版本不兼容导致运行时报错；加 --dry-run 可预览变更，且需确认该包已在 composer.json 的 require 中声明。
直接运行 composer update 会重算整个依赖树并更新所有包到符合 composer.json 约束的最新兼容版本，但它不是“一键安全升级”，而是“按规则激进刷新”——你得清楚它动了什么、为什么动、以及动错的代价。
怎么只升一个包，又不漏掉它的子依赖？
想升 monolog/monolog，但发现新版本要求 psr/log ≥2.0，而 lock 文件里还锁着 1.1.0？普通 composer update monolog/monolog 默认只更新它本身，子依赖不动，结果就是运行时报错。
- 安全做法是加
--with-all-dependencies：composer update monolog/monolog --with-all-dependencies - 它会让 Composer 把
monolog/monolog及其所有层级的依赖（比如psr/log、symfony/polyfill-php80）都纳入版本重解范围 - 注意：这不是“全项目更新”，没列出来的包（如
guzzlehttp/guzzle）不会被碰 - 先加
--dry-run看影响：composer update monolog/monolog --with-all-dependencies --dry-run
为什么 composer update foo/bar 没反应，甚至报错 “not required”？
最常见原因：这个包根本没在你的 composer.json 的 require 区块里声明，只是某个依赖带进来的间接依赖（transitive dependency）。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 检查
composer.json，确认有没有类似"foo/bar": "^2.1"这样的条目 - 如果没写，执行
composer update foo/bar就会报Package foo/bar is not required in your composer.json - 强行升级间接依赖？可以加
--with-all-dependencies，但风险高：可能连带升级多个上游包，引发兼容性断裂 - 更稳妥的方式是先查谁在用它：
composer why foo/bar，再决定是否要升级那个主包
composer update 和 composer install 到底差在哪？
composer install 是按 composer.lock 精确还原，composer update 是抛弃 lock、重新解析 composer.json 并生成新 lock——两者目的完全不同，混用必出问题。
- CI/CD 流水线里必须用
composer install --no-interaction --optimize-autoloader，否则每次构建拉的版本都可能不同 - 本地开发后忘了提交新
composer.lock，别人install就还是旧状态，功能对不上 -
composer update会远程查包元数据、解压、校验哈希，耗时通常是install的 3–10 倍，尤其网络差时明显 - 服务器上误跑
update，等于悄悄改了生产环境实际运行的代码，且不可追溯
升级失败卡在 “Your requirements could not be resolved” 怎么办？
这不是网络或权限问题，是约束冲突。Composer 不会绕过，它只做逻辑推演，推不出来就停。
- 看报错里具体哪两个包打架，比如
package-a v1.2 requires package-b ^3.0，但package-c v4.0 requires package-b ^4.0 - 快速定位拦路者：
composer why-not psr/log ^2.0 - 查某包支持哪些版本：
composer show monolog/monolog（看它 require 的psr/log范围） - 别急着加
--ignore-platform-reqs或删vendor，90% 的 case 是某个依赖还没适配新主版本 - 临时放宽约束试试：
"symfony/console": "^5.4 || ^6.0"，再update
真正麻烦的从来不是命令怎么敲，而是你不知道哪个子依赖在底层悄悄变了行为——比如 symfony/polyfill 升了一小版，就让某个扩展的 mb_strlen 返回值类型变了。所以每次 update 后，git diff composer.lock 多扫一眼，比写十行测试还管用。
