Composer 无内置批量更新监控，仅composer outdated支持离线检测；加--direct --minor --no-dev可精准查看直接依赖的稳定小版本更新，--format=json便于脚本解析，但结果依赖本地锁文件且不保证兼容性。
Composer 本身没有“批量检查更新”的后台监控功能，composer outdated 是唯一官方支持的离线检测方式，所有所谓“自动提醒”“实时监控”都得靠外部脚本或 CI 集成实现。
怎么用 composer outdated 看真正可升级的包？
默认执行 composer outdated 会列出所有有新版的包（包括 dev-、alpha 等不稳定版本），但多数项目只关心 stable 版本更新：
- 加
--minor或--patch限制升级范围（如只看补丁级更新） - 加
--direct只显示composer.json里直接声明的包，跳过依赖树里的间接依赖 - 加
--format=json输出结构化数据，方便后续解析（比如写脚本自动告警） - 加
--ignore=monolog/monolog排除已知暂不升级的包（避免每次都被干扰）
示例：只看直接依赖的稳定版小版本更新：composer outdated --direct --minor --no-dev
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么 composer update 不等于“检查更新”？
composer update 是实际修改 composer.lock 并下载新代码的操作，它不提供“只看不改”的预览能力。很多人误以为加 --dry-run 就能模拟检查——但 Composer 从 2.2 开始已移除该参数，现在它根本不支持真正的 dry run。
- 想安全验证升级影响？必须先在干净分支跑
composer update --dry-run（已失效）→ 实际只能靠git clean -fd && composer install回滚测试 -
composer update vendor/package单独升级某个包时，仍可能连带更新其子依赖，这不是“批量检查”，而是主动变更 - 如果
composer.json锁死了版本（如"php": "8.1.0"），outdated就不会提示 php 升级，哪怕系统已装 8.2 —— 它只管 Composer 管理的包
怎么低成本实现“及时监控”？
没有魔法命令，只有轻量集成：
- CI 中加一步：
composer outdated --direct --minor --no-dev --format=json | jq 'length == 0' || (echo "发现过期包" && exit 1)，失败即阻断发布 - 本地定时任务（Linux/macOS）：
0 9 * * 1 /usr/bin/composer outdated --direct --no-dev > /tmp/composer-outdated.log 2>&1，每周一早发邮件 - 别依赖第三方 GitHub Action 自动 PR（如
dependabot），它只管 major/minor 补丁，不识别^1.2下实际可升到1.2.5这类 patch 更新 - 注意：
outdated检查基于本地vendor/和composer.lock，不是实时连 Packagist 查最新版；若很久没install，结果可能滞后
真正容易被忽略的是：Composer 的版本约束是语义化的，outdated 报出来的“可升级”，未必代表安全或兼容——比如 guzzlehttp/guzzle:^7.2 显示有 7.8，但你的代码用了已被废弃的 new Client(['curl' => [...]])，升级后直接报错。检查只是起点，验证才是关键。
