真实破坏性变更需通过测试失败与运行时异常识别，而非仅看composer update版本号；重点检查TypeError、返回值类型变化、autoload重建影响、mock失效、环境差异及“结果不对”类隐蔽变更。
如何识别 Composer 升级后的真实破坏性变更
直接看 composer update 输出不可靠——它只显示包版本号变化，不反映接口、行为或返回值的实质变动。真正要抓的是运行时异常和测试失败，尤其是那些没被单元测试覆盖的边界路径。
建议在升级前先跑一遍完整测试套件（vendor/bin/phpunit 或你项目的实际测试命令），再执行 composer update，最后立刻重跑。两次失败用例的 diff 才是破坏性变更的证据。
- 关注
TypeError、ArgumentCountError、Deprecated警告（PHP 8.1+ 默认转为异常） - 检查日志中是否出现新抛出的
InvalidArgumentException或LogicException，尤其来自依赖包内部构造函数或工厂方法 - 留意返回值类型变化：比如某方法原来返回
array，新版改成了Collection或Traversable，但你的代码用了count()或array_key_exists()
为什么 vendor/autoload.php 重载后行为会变
Composer 的自动加载机制不是“静态映射”，而是按 composer.json 中的 autoload 和 autoload-dev 配置动态生成 vendor/composer/autoload_*.php。升级依赖可能触发 autoload 重建，导致类加载顺序、命名空间解析路径甚至 PSR-4 映射规则发生偏移。
典型现象：本地测试通过，CI 失败；或者某类在 Web 请求中存在，CLI 下却报 Class not found。
- 执行
composer dump-autoload --optimize后务必清空 OPCache（opcache_reset()或重启 PHP-FPM） - 检查是否混用了
classmap和psr-4映射同一命名空间——新版 Composer 可能更严格校验冲突 - 若使用了
exclude-from-classmap，确认被排除的文件没被其他包通过require_once直接引入
mock 依赖时容易忽略的底层协议变更
很多测试用 Mockery 或 PHPUnit::createMock() 模拟第三方服务客户端（如 GuzzleHttp\Client、Aws\S3\S3Client），但升级后这些类的构造参数、方法签名或内部调用链可能已变，导致 mock 行为失效或抛出未预期异常。
例如 monolog/monolog v2 → v3 移除了 Monolog\Handler\StreamHandler::__construct() 的第 3 个参数 $useLocking，但你的 mock 还在传 4 个参数，就会触发 ArgumentCountError。
- 不要 mock 具体实现类，优先 mock 接口（如
Psr\Log\LoggerInterface） - 对必须 mock 的客户端类，用
getMockForAbstractClass()替代createMock()，避免构造函数参数不匹配 - 在
composer.json的require-dev中锁定被 mock 的包版本，直到测试适配完成
CI 环境里最常漏掉的兼容性检查点
本地开发用 PHP 8.2，CI 用 PHP 7.4？或者本地开了 Xdebug，CI 关闭了？这些环境差异会让某些破坏性变更“隐身”。特别是涉及 ReturnTypeWillChange、#[\ReturnTypeWillChange] 属性、或 __serialize()/__unserialize() 的变更，在低版本 PHP 下根本不会触发警告或错误。
更隐蔽的是扩展依赖：比如 ext-intl 在旧版 symfony/intl 中是可选，新版变成强制要求，但 composer install 不报错，运行时才炸。
- CI 流水线中加入
composer check-platform-reqs，确保所有扩展和 PHP 版本满足新依赖要求 - 用
composer show --tree对比升级前后依赖树，重点扫一眼ext-*和php行约束是否收紧 - 把
vendor/bin/phpunit --fail-on-warning加进 CI 步骤，不让Deprecated警告溜过去
破坏性变更往往藏在“没报错但结果不对”的地方：缓存键生成逻辑变了、JSON 序列化时 null 值处理策略不同、甚至只是日志时间格式多了一个微秒字段——这些都不会让测试挂，但会影响下游系统。上线前至少拿一两条真实业务数据走一遍端到端路径。
