没有“安全批量更新所有依赖”的命令，强行 composer update 等于放弃版本控制；最常用、最稳的方式是明确列出完整包名（如 composer update monolog/monolog guzzlehttp/guzzle），仅更新这些包及其受影响的直系子依赖，其他依赖完全不动，且包名必须已在 composer.json 中声明。
没有“安全批量更新所有依赖”的命令，强行 composer update 等于主动放弃版本控制权。真正可控的批量操作，只存在于明确指定包名、调整版本约束、并配合 --with-all-dependencies 穿透依赖树的组合动作里；且必须以 composer outdated 为依据，升级后立即执行 composer dump-autoload -o。
怎么只更新几个指定包（最常用、最稳）
直接在命令后列出完整包名，Composer 就只动这几个及其受影响的直系子依赖，其他依赖完全不动——这是日常维护中推荐的默认方式。
-
composer update monolog/monolog guzzlehttp/guzzle symfony/console：包名之间空格分隔，不加引号、不用逗号 - 包名必须已在
composer.json的require或require-dev中声明，否则报错：Package xxx is not required in your composer.json - 漏掉 vendor 名（如写成
monolog而非monolog/monolog）会直接失败，错误提示是Package "monolog" not found - 若某包被锁死（如
"monolog/monolog": "2.9.0"），update不会升级它——得先改成"^2.9"或删掉具体版本号
怎么让指定包连带整个依赖树一起更新
仅运行 composer update vendor/name 默认只更新该包本身，它的间接依赖（比如被拉进来的 symfony/http-foundation）可能卡在旧版，埋下兼容隐患。这时必须加 --with-all-dependencies。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer update laravel/framework --with-all-dependencies：重算 Laravel 及其全部子依赖（如nesbot/carbon、symfony/routing），但不会碰phpunit这类无关包 - 它仍受
composer.json版本约束严格限制："laravel/framework": "^9.0"→ 绝不会升到 v10，连提示都不会有 - 性能代价明显：依赖越深、约束越复杂，SAT 求解耗时越长，比普通
update慢数倍，卡住几秒到几十秒都常见 - 别和
--with-dependencies混淆：后者只升直系子依赖，前者是整棵子树穿透
怎么发现哪些包其实该批量更新了
凭记忆列包名容易漏掉安全更新或关键小版本。composer outdated 输出才是真实可更新状态，不是“最新版”列表，而是当前约束下可升范围的精确快照。
-
composer outdated --direct：只看你自己require的包，优先处理这些；带!标记的行表示主版本跃迁（如 v2 → v3），需人工核验 break change -
composer outdated --minor-only：过滤掉主版本变动，适合只想做保守迭代的场景 -
composer outdated --format=json：供 CI 脚本解析，提取含security字段的包，优先响应 CVE - 注意：
latest列只反映 Packagist 当前稳定版，不校验是否兼容你当前 PHP 版本或已有依赖链
为什么不能用通配符（比如 monolog/*）
Composer 原生不解析 * 或 vendor/* 这类 glob 模式——你敲 composer update monolog/*，它会报 Could not find package monolog/*，不是找不到包，是压根不识别这个语法。
- 想按前缀筛选？用 shell 管道：
composer show --name-only | grep '^symfony/' | xargs -r composer update（Mac 需装findutils才有-r） - 更可靠的做法：
composer show 'monolog/*' | awk '{print $1}' | xargs composer update 2>/dev/null，避开描述字段含空格导致截断 - 所有这类脚本都必须先加
--dry-run预览：composer update $(composer show 'monolog/*' | awk '{print $1}') --dry-run - 临时验证包是否存在：
composer show 'monolog/*'（单引号防 shell 展开）
升级后类找不到？大概率是 autoload 没刷新——composer dump-autoload -o 是最常被跳过的一步，尤其涉及新命名空间或文件结构变更时。CI 流水线里误写成 composer update 而非 install，会导致每次构建拉不同版本，线上行为漂移。真正自动化的核心不在 Composer 本身，而在 Git + CI/CD 流程闭环里，composer.lock 是不可绕过的校验点。
