应使用 composer update vendor/package-name 精准升级单包；它只更新该包及其未被其他包锁死的直系依赖，不改动其他顶层包，避免全量重算依赖树引发不可控变更。
想只更新一个 Composer 包？直接跑 composer update vendor/package-name 就行，其他包不会动。别用 composer update 不带参数，也别用 composer require 曲线救国——那不是更新，是重装+重算依赖树。
为什么 composer update monolog/monolog 才是正解
无参数的 composer update 会丢掉 composer.lock，从头解析整个 composer.json，所有满足约束的包都可能升级，极易引发静默行为变更（比如日志字段名改了、HTTP 超时变短）。而指定包名后：
-
composer update monolog/monolog只拉取符合composer.json中该包版本约束（如"^2.8"）的最新兼容版（例如2.10.0） - 仅顺带升级它**直连依赖**中未被其他顶层包锁死的项（如
psr/log若需升到^2.0才能装monolog2.10，就会升） -
laravel/framework、guzzlehttp/guzzle等其他顶层包完全不动，哪怕它们也在composer.json里 - 修改只写入
composer.lock对应条目，不污染整份文件
composer update 后别的包也变了，正常吗
正常，只要变化的是目标包的**直系依赖**，且旧版本无法满足新版本的 require 声明。常见误判场景：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer update foo/bar→baz/qux也升了：查foo/bar的composer.json，它新版本可能声明"baz/qux": "^3.0"，而你原来锁的是2.5 -
composer.lock里一堆无关包变色：大概率你敲成了composer update（少写了包名），或用了带空格的引号如composer update "monolog/monolog"，某些 shell 会把它当字符串忽略 - 想升
monolog/monolog到^3.0却失败：运行composer why-not monolog/monolog:3.0，通常会看到laravel/framework锁着monolog:^2.0——这时候得先升 Laravel，或接受不升
怎么强制升到某个具体版本
Composer 不支持命令行直接指定版本更新（composer update monolog/monolog:3.0.0 是无效语法）。要锁定版本，必须两步走：
- 手动编辑
composer.json，把对应包的版本字段改成目标值，例如："monolog/monolog": "3.0.0"或"^3.0" - 再运行
composer update monolog/monolog（仍要带包名） - 如果改完
composer.json还卡在旧版，检查composer.lock是否残留旧约束——可删掉composer.lock和vendor/后重试（仅限本地）
注意：composer require monolog/monolog:3.0.0 --update-with-dependencies 不是更新，是重装，会绕过现有依赖关系，不该用于已有包的版本控制。
容易被忽略的细节
包名漏 vendor/、大小写错误、或包根本没出现在 composer.json 的 require 或 require-dev 里，都会导致命令失败或静默忽略。执行前先用 composer show -l vendor/package-name 确认是否已安装、用 composer outdated vendor/package-name 确认真有可升级版本。批量更新多个包时，用空格分隔，不要加逗号或换行：composer update monolog/monolog symfony/http-foundation。最后，git diff composer.lock 是验证是否只动了目标包的唯一靠谱方式。
