标红不等于必须升级，因标红仅表示存在非补丁级更新（次版本或主版本），而主版本跃迁大概率含BC break，次版本虽通常兼容但仍需验证；真正高危的是composer outdated --major-only --direct所列包，须结合UPGRADING.md、--dry-run及PHP兼容性人工评估。
为什么composer outdated标红不等于要升级
标红的包只说明它存在语义化版本（SemVer）意义上的非补丁级更新，比如从 v2.1.0 到 v2.2.0（次版本）或 v3.0.0（主版本），但composer outdated本身不区分这两类变更的破坏性程度。它默认把两者都标红，而实际风险天差地别：v2.2.0 可能只是加了个方法，v3.0.0 却可能删掉你正在用的 LoggerInterface::log() 方法。
- 主版本跳变（
major）大概率含 BC break：接口重写、类移除、配置结构变更 - 次版本更新（
minor）通常只新增功能或非破坏性调整，但仍需验证——比如guzzlehttp/guzzlev7.5.0 里RequestOptions::HTTP_ERRORS默认值变了 - 补丁版本（
patch）理论上安全，但极少数情况也会修错逻辑（如修复一个 bug 却引入另一个）
composer outdated --major-only --direct才是高危信号过滤器
想快速定位真正危险的升级点，必须绕过默认输出的干扰项。直接运行 composer outdated --major-only --direct，它只列出你在 composer.json 中亲手写的、且已有更高主版本的包——这才是你该优先人工评估的对象。
-
--major-only过滤掉所有次版本和补丁更新，避免被“看起来很新”的v2.11.0 → v2.12.0分散注意力 -
--direct排除传递依赖（比如psr/log被monolog带进来），聚焦你代码里直接use或new的包 - 输出中带
(major)标记的行，意味着你要立刻查它的UPGRADING.md，而不是 GitHub Releases - 如果结果为空，不代表没风险——可能你锁死了版本（如
"laravel/framework": "10.48.0"），outdated就不会提醒
主版本升级前必须看的三件事
发现某个包有主版本可升，别急着 composer update。先确认这三件事是否闭环：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查
composer show -s vendor/package拿到源码地址，再翻它官方仓库里的UPGRADE-*.md或UPGRADING.md，重点扫Breaking Changes和Changed小节 - 跑
composer update --dry-run vendor/package，看是否触发其他包降级或冲突——主版本常卡在依赖树某处，硬升会报Your requirements could not be resolved - 确认 PHP 和扩展兼容性：比如
symfony/consolev6 要求 PHP ≥ 8.1，而你项目还在 8.0；或者ext-intl被新版本强制要求
容易被忽略的「假安全」陷阱
最危险的不是明摆着的主版本跳变，而是那些看似无害、却悄悄改契约的次版本更新。比如 monolog/monolog v2.10.0 → v2.11.0 把 Logger::emergency() 的第三个参数从 array 改成 array|null，如果你代码里没传这个参数，PHP 8.1+ 就会爆 ArgumentCountError。
-
composer outdated --minor-only看起来温和，但必须搭配composer update --dry-run和本地测试——因为outdated不知道你调用了哪些私有方法或内部类 - 某些包的
conflicts字段含隐式约束（如"conflicts": {"phpunit/phpunit": "），<code>outdated不提示，但update时会突然失败 -
composer audit必须单独跑，它和outdated完全无关——v1.27.0有 RCE 漏洞，但只要没发v1.27.1，outdated就永远沉默
主版本变更的评估不能靠颜色或命令输出，得看你代码里实际调用了什么、对方文档里写了什么、CI 测试能不能过。任何跳过 --dry-run 和人工日志核对的升级，都是在赌运气。
