composer outdated 默认漏掉间接依赖（如 symfony/http-foundation 等传递依赖）、被 replace/provide 替代的包、dev 分支或 platform 扩展包，以及版本约束过严（如固定版本）导致不匹配新发布的包。
composer outdated 会漏掉哪些包？
默认的 composer outdated 只显示「直接依赖」中过期的包，而所有通过依赖传递进来的间接包（即 require 在其他包的 composer.json 里的包）默认不显示——哪怕它们有严重安全更新或已废弃。这是最常被忽略的盲区。
如果你项目里用了 laravel/framework，它又依赖 symfony/http-foundation，而后者发布了 v6.4.10 修复了 CVE-2024-37892，composer outdated 默认根本不会提这一行。
- 加
--all参数才能列出全部依赖树中的过期包（包括间接依赖） - 加
--direct反而只看顶层依赖（默认行为），容易误以为“没得可升” - 某些包即使版本号更高，也可能因
conflict或replace规则被 Composer 主动排除，需结合composer show验证实际安装版本
如何导出过期包列表供团队/CI 使用？
人工翻页看 composer outdated --all 输出不可靠，尤其在 CI 环境里需要结构化数据。用 --format=json 是唯一稳定方案。
示例命令：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer outdated --all --format=json --no-dev | jq -r '.packages[] | select(.version != .latest) | "\(.name) \(.version) → \(.latest)"'
说明：
-
--no-dev排除开发依赖（如phpunit/phpunit），避免干扰生产环境评估 -
jq提取关键字段，过滤掉版本一致的条目（有些包latest字段是dev-main这类不稳定标识，需额外判断） - 若无
jq，可用composer outdated --all --minor-only缩小范围（只报次要版本升级，跳过补丁级）
为什么有些包明明有新版却标“up to date”？
不是检测失效，而是 Composer 尊重你 composer.json 里的版本约束。比如你写了 "monolog/monolog": "^2.8"，即使 monolog 发了 v3.0，只要没违反 ^2.8（即不兼容 v3），outdated 就不会提醒你。
- 检查是否用了过于严格的版本锁：如
"guzzlehttp/guzzle": "7.5.0"（固定版本） vs"^7.5"（允许补丁/次要升级） - 运行
composer show guzzlehttp/guzzle查看当前解析出的实际版本和约束来源（哪个包引入的） - 某些包在
replace块中声明替代了其他包（如psr/log被monolog/monologreplace），outdated不会单独列被替代包
CI 中自动检测过期包要避开哪些坑？
在 GitHub Actions 或 GitLab CI 里跑 composer outdated 最容易栽在缓存和平台差异上。
- 务必先执行
composer install --no-interaction --prefer-dist，否则outdated可能基于不完整的vendor/判断（尤其是没装--with-all-dependencies时） - PHP 版本不一致会导致可用版本不同：CI 用 PHP 8.2，本地用 8.3，某些包在 8.2 下最新版可能是 v2.1，到 8.3 就变成 v2.2 —— 检测前确保
php -v与目标环境一致 - 别用
composer outdated --major-only做卡点，它只报大版本升级（如 v2→v3），但很多安全修复在 v2.9.x 就发布了，会被跳过
真正要卡住发布的，应该用 composer prohibits 配合已知漏洞版本号做精准拦截，而不是依赖 outdated 的模糊提示。
