直接执行 composer update vendor/package-name 是唯一可靠方式，它只更新指定包及其直系依赖，不改动其他顶层包；漏 vendor/、加引号或误用参数会导致全量更新或失败。
直接执行 composer update vendor/package-name 就行
这是唯一可靠方式，不是权宜之计。比如要更新 monolog/monolog，就运行：composer update monolog/monolog。它只解析该包及其子依赖的版本约束，其他顶层包（如 laravel/framework、guzzlehttp/guzzle）在 composer.lock 中保持原样。
常见错误包括：
• 漏写 vendor/ 前缀，例如 composer update monolog → Composer 找不到匹配项，静默 fallback 到全量更新
• 加引号，例如 composer update "monolog/monolog" → shell 可能忽略参数，等效于无参数执行
• 误用不存在的参数，例如 --only 或 --no-update-with-dependencies（后者虽存在但语义易混淆）→ 命令报错或行为不可控
composer update 连带升级了别的包，正常吗
只要变动的是目标包的**直系依赖**，且旧版本无法满足其新 require 声明，就完全正常。这不是失控，而是依赖求解的必然结果。
例如：
• monolog/monolog:^3.0 的 composer.json 明确声明 "symfony/console": "^6.2"，而你 composer.lock 里是 6.1，那它必须升
• 如果 psr/log 同时被 laravel/framework 和 monolog/monolog 使用，且新 monolog 要求 ^2.0，而 laravel 兼容该版本，Composer 就会升级它
• 但若 laravel/framework 锁死 psr/log 在 ^1.1，而 monolog:^3.0 要求 ^2.0，则整个命令会失败，提示冲突
怎么预判和验证实际影响范围
别信终端输出的“Updating xxx”列表，它可能省略中间依赖。真正可靠的判断方式只有两个：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
• 执行 composer update monolog/monolog --dry-run，看输出中是否出现你没打算动的顶层包（尤其是 symfony/、laravel/、phpunit/）
• 升级后立即 git diff composer.lock，只应看到：
– packages 或 packages-dev 下对应包名的 version、source、dist 字段变化
– 其他包的 dist.shasum 或 platform 字段变动可忽略；若整块 packages 都变了，大概率是你漏写了 vendor/ 前缀，触发了全量更新
想升到特定版本，但 composer update vendor/package:3.0.0 报错
Composer 不支持命令行直接指定版本更新——这个语法无效。要锁定版本，必须两步走：
• 手动编辑 composer.json，把对应包的版本字段改成目标值，例如："monolog/monolog": "3.0.0"
• 再运行 composer update monolog/monolog
注意：
• 如果该包只在 require-dev 里，必须加 --dev 参数，否则命令无效果也不报错
• 如果包是间接依赖（不在 composer.json 的 require 或 require-dev 中），直接运行会报错 Package not found in composer.json，此时不能靠 update 强制升级，得先 require 它再处理
• composer require vendor/package-name:3.0.0 看似可行，但它会重算整个依赖图，可能顺带升级 php 版本要求、平台扩展等无关项，偏离“只动一个包”的初衷
