composer outdated 默认仅检查版本约束内的允许升级项，无法识别写死版本、dev分支、主版本跃迁及插件更新；需组合 --direct --minor-only --format=json --no-dev 2>/dev/null 获取结构化预警数据，安全漏洞须用 composer audit 单独扫描，代码级变更需通过 composer show -s 获取源码地址后查阅 Release 或 CHANGELOG。
直接用 composer outdated 查不到真实更新动态，它默认只比对当前版本约束内的“允许升级项”，不是“全量最新版”。真正要跟踪变动、做预警，得组合命令、过滤输出、手动查日志，且必须区分「可升版本」「安全漏洞」「破坏性变更」三类信号。
怎么让 composer outdated 输出真正有用的更新列表
默认行为会漏掉大量关键信息：写死版本的包不报、dev 分支不报、主版本跃迁不标出、插件完全不出现。必须加参数才能逼近真实可用的预警源：
-
--direct：只看composer.json里你亲手写的require和require-dev，避免被传递依赖刷屏 -
--minor-only（Composer ≥ 2.5）：只报小版本更新（如 3.4 → 3.5），跳过可能破坏兼容性的主版本（3.x → 4.0） -
--format=json：结构化输出，字段含latest-status（值为major/minor/patch），方便脚本判断 -
--no-dev：开发依赖通常不影响线上，加它能减少干扰（除非你在 CI 中专门监控测试工具链） -
2>/dev/null：屏蔽网络超时、仓库不可达等警告，避免 JSON 解析失败
为什么不能只靠 composer outdated 做安全预警
composer outdated 不管漏洞，只管版本号。CVE 类风险必须用 composer audit 单独扫：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 它查的是已安装包是否落在已知漏洞影响范围内，和版本约束无关——哪怕你锁死
"monolog/monolog": "2.8.0"，只要这个版本有 CVE-2023-12345，audit就会报 - 必须 PHP ≥ 8.1 且 Composer ≥ 2.5，旧版本直接报错，不是“没结果”，是根本跑不动
- 默认检查全部依赖，加
--no-dev可跳过开发依赖（如 phpunit、phpstan），避免低风险告警刷屏 - 输出里带
advisory字段（如CVE-2024-56789）和fixedIn版本，这才是升级依据，不是看 outdated 里的 latest 版本号
怎么查某个包具体改了什么（不是版本号，是代码级变动）
composer show -s vendor/package 是唯一可靠起点，它返回真实的 source.url，之后才是手动查日志：
- 把
https://github.com/monolog/monolog.git改成https://github.com/monolog/monolog/releases，优先点开对应 tag（如v3.5.0），不是 main 分支 - 如果 Releases 404，试
/blob/main/CHANGELOG.md或/blob/6.4/CHANGELOG.md（分支名要和你要查的版本匹配） - 若
composer show输出里source为空，说明是 dist 安装，vendor 下无 Git 历史，git diff不可用，只能靠 homepage 猜仓库地址 - 想对比两个版本差异？只有满足“source 安装 + 知道精确版本号”才可行：
git -C vendor/vendor/package diff --stat v3.4.0..v3.5.0
CI 中实现可靠预警的关键细节
很多团队把 composer outdated 直接塞进 GitHub Actions，结果误报、漏报、退出码混乱。真正能落地的要点很具体：
- 别用
composer update --dry-run：它在 Composer 2.2+ 已移除，现在执行会报错或静默忽略 - 退出码不可靠：默认有输出也返回 0，必须用
jq判断 JSON 是否为空数组，例如：composer outdated --direct --minor-only --format=json 2>/dev/null | jq 'if .packages | length == 0 then exit(0) else exit(1) end' - 插件（type: composer-plugin）不会出现在
outdated结果里，得单独跑composer show -l | grep '\[plugin\]'，再对每个插件名查composer show vendor/plugin-name - 本地
vendor/和composer.lock滞后会导致结果不准，CI 中建议先composer install --no-interaction再检查
最常被忽略的是：所有这些命令都基于 Packagist 元数据快照，不是实时 API；如果你长期不 composer install，outdated 的“最新版”可能已经过期一周。真要盯紧变动，得定期拉取 lock 文件变更 + 对应 GitHub Release 页面订阅。
