composer update 不保证安全更新，它仅按 composer.json 约束重算依赖树；安全更新需结合 composer audit 发现漏洞、手动指定补丁版本并使用 --with-dependencies 升级。
直接说结论：composer update 本身不保证安全更新，它只按 composer.json 约束重算依赖树；真正能识别并推动补丁级修复的，是 composer audit + 手动指定版本 + --with-dependencies 的组合动作。
为什么 composer update 不等于安全更新
它不读漏洞数据库，也不区分“2.8.1 → 2.8.2”和“2.8.1 → 2.9.0”——只要满足 "monolog/monolog": "^2.8"，就可能跳过带修复的补丁版，直接升到次版本。更糟的是，如果锁文件里固定了 "monolog/monolog": "2.8.1"，那 composer update 根本不会动它，哪怕 composer audit 已明确报出 CVE。
- 常见错误现象：
composer outdated显示有新版本，但composer update monolog/monolog没反应；CI 扫出高危 CVE，本地却查不到可升级项 - 根本原因：约束太宽（如
^2.0）导致 Composer 认为当前版本仍“合法”；或约束太窄（如写死"2.8.1"），彻底锁死 - 性能影响：
composer update会丢弃composer.lock重新解析整棵树，耗时长、易触发意外行为变更（比如 HTTP 超时从 30s 缩成 5s）
composer audit 是安全更新的起点，不是终点
它从官方 Security Advisories 数据库比对已安装包的实际版本，直接告诉你 symfony/http-foundation 5.4.22 是否已被标记为含 CVE-2023-45802。但它不自动升级，只报问题。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 必须加
--no-dev：避免把phpunit这类开发依赖的漏洞当成生产风险 - 结构化输出用于 CI：运行
composer audit --format=json --no-dev，再用jq 'length == 0'做门禁 - 局限性明显：私有包、零日漏洞、未同步进 Symfony DB 的条目，它都扫不出来
- 别信“No security vulnerabilities found”：这仅表示当前数据库无记录，不等于绝对安全
怎么强制升到含补丁的最小版本
当 composer audit 明确指出漏洞在 laravel/framework 7.2.4，修复版是 7.2.5，但你的约束是 "^7.0" 却没升上去——说明 Composer 认为 7.2.4 仍满足范围，无需更新。这时得人工干预。
- 先临时改约束：
composer require laravel/framework:7.2.5 --no-update，只改composer.json不重装 - 再带依赖一起升：
composer update laravel/framework --with-dependencies，确保子依赖（如illuminate/support）也同步到兼容补丁版 - 别漏掉锁文件：执行后立刻
git add composer.lock && git commit -m "lock after security patch"，否则回滚无据 - 升完必跑：
composer dump-autoload -o，90% 的 “Class not found” 是 autoload 没刷新，不是包没装对
想长期控制只升补丁，靠约束写法，不是靠命令参数
composer update --patch-only 是 Composer 2.5+ 新增命令，但它生效条件苛刻：锁文件中该包版本必须是 x.y.z 形式，且约束本身允许补丁升级（如 "monolog/monolog": "2.8.*" 或 "~2.8.0"）。它不会强行把 ^2.0 缩窄成只升补丁。
-
"package/name": "2.8.*"→ 允许 2.8.1 → 2.8.27，但不升 2.9.0 -
"package/name": "~2.8.0"→ 效果同上，等价于>=2.8.0 -
"package/name": "^2.8"→ 允许升到 2.9.0 甚至 2.10.0，哪怕只是修一个补丁 - 最保险的写法：
"phpunit/phpunit": "9.5.*"，精确锁定次版本，补丁升级完全可控
真正的难点不在命令怎么敲，而在于每次升级前，你是否真去看了 composer outdated --direct 里的 [security] 标记，以及有没有顺手跑 composer why-not 查清谁在拦路——这些步骤没法省，省了就容易卡在带漏洞的老版本上。
