Composer连带升级psr/log是因为它重新解析整个依赖图以保证全局一致性；目标包新版本若要求更高子依赖（如monolog^3.0需psr/log^3.0），而lock中仍是^2.0，就必须升级，这是设计逻辑而非bug。
composer update vendor/package 为什么连 psr/log 都升了
因为 composer update vendor/package 默认不是“只换一个包”，而是重新运行整套依赖解析器：它读取当前 composer.json + composer.lock 状态，再从头计算满足所有约束的最优版本组合。一旦目标包的新版本要求更高子依赖（比如 monolog/monolog ^3.0 要求 psr/log ^3.0），而 lock 里还是 ^2.0，Composer 就必须升级 psr/log ——哪怕你没动过它。
这不是 bug，是设计逻辑：它不维护“局部更新”语义，只维护“全局一致性”。
-
--no-update-with-dependencies在 Composer 2.2+ 才可用，但它不是“锁死子依赖”，而是“不满足就报 conflict”，不会降级或绕过 - 错误提示通常是
Conclusion: don't install psr/log 3.0.0，而不是模糊的“conflict”，这是关键信号 - 如果你刚执行过
composer update --dry-run确认只有单行Updating monolog/monolog，那--no-update-with-dependencies才可能成功
如何让 update 只动指定包、不动子依赖
唯一可靠方式是确保该包的**所有直系子依赖已在 lock 中满足新版本要求**。否则 Composer 必须介入协调，没有“跳过”选项。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先查它依赖什么：
composer show vendor/package | grep requires - 再确认这些依赖是否已满足：
composer show psr/log和composer why psr/log - 若发现其他包也锁着旧版（如
laravel/framework锁symfony/event-dispatcher^5.4），那vendor/package升级必然失败，得先处理冲突源 -
composer update --lock-only不触发解析，只快照当前vendor/写回 lock ——但前提是vendor/完整且可解析，缺包会直接失败
为什么 --with-all-dependencies 让事情更复杂
--with-all-dependencies 不是“安全升级开关”，而是“深度穿透触发器”：它会让目标包的整个依赖子图（包括间接依赖）都参与重算，性能代价大，冲突风险高。
- 它不绕过约束，仍受
composer.json限制（"laravel/framework": "^9.0"不会升到 v10） - 它可能把原本安静的
doctrine/dbal或phpunit/phpunit拉进决策范围，引发连锁冲突 - 在 CI 流水线中慎用：SAT 求解可能卡住，比普通
update慢数倍，且无超时提示 - 真正可控的做法是分步：
composer outdated --minor-only筛出可升小版本 → 显式拼包名 →composer update pkg-a pkg-b --dry-run预览 →git diff composer.lock验证
生产环境最常踩的坑：忽略 lock 文件和平台约束
很多“更新不相关包”的问题，其实源于 composer.lock 和本地环境不一致，或者 config.platform.php 没对齐。
- CI 报错
Package xyz has a PHP requirement incompatible with your PHP version？先跑composer config platform.php，确认输出和实际 PHP 版本一致（常见坑点是写成8.1.0但 CI 是8.3） - 本地
update成功但 CI 失败？别删vendor和lock重装，先git checkout composer.lock回退，再composer update并提交新 lock - 私有 Git 包写成
"vendor/pkg": "dev-main"？每次update都拉最新 commit，若作者重写了main历史，Composer 会因哈希不匹配放弃升级，退回旧 tag
依赖图谱不是静态树，是带约束的动态求解空间。你以为只改了一个包，但 Composer 看到的是整张关系网——它必须保证每条边都合法。最容易被忽略的，往往是那个没出现在错误信息第一行、却悄悄锁死整条链的间接依赖。
