composer outdated 不实时联网检测，而是比对 composer.lock 版本、vendor/ 实际安装状态及本地缓存的元数据快照；仅当缓存中存在更高稳定版且满足约束时才标记“可更新”，否则不显示——其“最新”是静态快照结果，非动态实时查询。
Composer 不实时检测“最新版”，它只查本地缓存或远程元数据快照；所谓“最新”取决于你运行 composer outdated 时锁文件和 vendor 的状态，不是动态联网比对。
composer outdated 怎么决定“有更新”
它不连 Packagist 实时查，而是比对三样东西：
- 当前
composer.lock里记录的版本号 - 本地
vendor/下实际安装的代码（防止 lock 被手动改但没 install） - 本地已缓存的包元数据（来自上次
composer update或composer install时拉下的packages.json快照）
如果缓存里有比 lock 中更高的 stable 版本，就标为“可更新”。--no-dev 会跳过 dev-、alpha 等非稳定版；--minor 只看小版本升（如 2.1 → 2.9），不看大版本（2.x → 3.0）。
为什么有时候 outdated 不显示明明已发布的版本
常见原因有三个：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 你很久没运行
composer update或composer install，本地缓存还是几周前的，Packagist 上的新版根本没进缓存 -
composer show -a vendor/package才会强制刷新远程元数据，但outdated默认不刷——它只用已有缓存做判断 - 某个依赖在
composer.json里被写死（如"monolog/monolog": "2.8.0"），那哪怕 2.9.0 发布了，outdated也认为“已满足”，不会提示
想确认某个包当前真实最新 stable 版？用这组命令
别信 outdated 单次输出，按顺序跑：
-
composer show -a vendor/package：强制拉最新元数据，列出所有可用版本（含未安装的） -
composer show -a vendor/package | grep "versions:"：快速扫一眼有哪些 stable 标签（如v2.9.0,v2.9.1） -
composer show vendor/package --format=json | php -r "echo json_decode(file_get_contents('php://stdin'))->version;"：取当前已安装版本，用于对比
注意：show -a 会发请求到镜像源（如阿里云），但不会改任何文件，安全可随时执行。
“最新版”不等于“能装的版”
即使 show -a 显示 3.0.0 是最新，你也可能装不上——因为平台约束或依赖冲突拦着：
-
composer why-not vendor/package:3.0.0：立刻告诉你谁卡住了，不是版本不存在，而是逻辑上不可解 -
composer check-platform-reqs：确认 PHP 版本、扩展是否真满足该包的require字段 -
composer depends -r vendor/package：看哪个上游包在锁死旧版（尤其注意require-dev里的测试工具）
真正容易被忽略的是：Composer 的“最新”永远是静态快照视角，不是流式监听。想靠它自动发现更新，必须主动触发元数据刷新，且要结合约束检查，否则看到的只是“理论上可升”，不是“实际上能升”。
