执行 composer update vendor/package 默认不升级间接依赖，必须加 --with-all-dependencies 才会重算整个依赖树并更新所有可解的间接依赖。
composer update vendor/package 默认不升级间接依赖
执行 composer update monolog/monolog 时，Composer 只会更新 monolog/monolog 本身，以及它**直连声明在 require 中的依赖**（比如 psr/log），但不会动那些只被其他包引用、你项目里没显式 require 的间接依赖（如 symfony/polyfill-php80 被 monolog 的某个子包带进来，而你没直引它）。
这看似“精准”，但容易埋坑：新版本 monolog 可能要求 psr/log ^2.0，而你 lock 里锁着 1.1.0，结果运行时报 Class not found 或方法不存在——不是 monolog 没升，是它的间接依赖卡住了。
- 间接依赖是否升级，取决于它是否出现在你的
composer.json的require或require-dev区块里 - 如果没写，它就只是“路过”，
update vendor/package不会碰它，哪怕它已被上游包悄悄弃用 - 想让它跟着动？必须加
--with-all-dependencies，否则它大概率原地不动
--with-all-dependencies 是唯一可靠方式
--with-all-dependencies 不是“升级所有包”，而是把目标包及其**整个依赖树中所有可解的包**都纳入版本重算范围——包括那些你没在 composer.json 里写的间接依赖。
例如：你运行 composer update guzzlehttp/guzzle --with-all-dependencies，Composer 会同时检查 psr/http-client、ralouphie/getallheaders、symfony/polyfill-intl-idn 等所有被 Guzzle 带进来的包，并按当前约束尝试升到最新兼容版。
- 它仍受
composer.json版本约束限制，不会越界升主版本（如从^2.0升到3.x） - 若某个间接依赖被多个顶层包共同引用（比如
symfony/event-dispatcher同时被laravel/framework和monolog用），Composer 会找一个所有调用方都能接受的版本，冲突时直接报错 - 加
--dry-run预览：composer update guzzlehttp/guzzle --with-all-dependencies --dry-run，看清哪些间接依赖会被动
间接依赖升级失败时，先查谁在拦路
常见报错是 Your requirements could not be resolved，表面看是 Guzzle 升级失败，实际可能是某个间接依赖被别的包死锁了版本。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
别猜，直接用 composer why-not 定位：
-
composer why-not psr/http-client:2.0—— 查哪个包在阻止psr/http-client升到 v2 -
composer why guzzlehttp/guzzle—— 查谁在引用 Guzzle，确认它是不是被laravel/framework这类大包兜底管理着 - 如果发现是某个 dev-only 包（如
phpunit/phpunit）在拖后腿，可临时加--no-dev再试
注意：composer outdated 显示的“可升级”对间接依赖无效——它只扫描你 composer.json 里写的包，不扫 lock 文件里躺着的“幽灵依赖”。
真正锁死间接依赖，只能靠显式声明
想让某个间接依赖永远不乱动？Composer 不提供“全局冻结”开关。唯一稳的方法，是在 composer.json 的 require 里把它写死：
- 比如
guzzlehttp/guzzle带来了psr/http-client ^1.0，但你代码里也直接用了它，那就加一行："psr/http-client": "1.0.3" - 这样无论 Guzzle 怎么升，
psr/http-client都会被强制钉在1.0.3，Composer 会把它当顶层依赖对待 - 慎用
replace段屏蔽包——容易引发求解器崩溃，尤其在 CI 环境下
间接依赖的“隐形性”是双刃剑：省心时它自动跟随，出事时它最难排查。最常被忽略的点是：composer.lock 里混入了已删除包的残留记录，会导致单包 update 行为异常——建议定期用 composer validate --strict 扫一遍。
