composer outdated 标红的 ! 仅表示存在主版本更新（如 monolog/monolog 2.9.0 → 3.0.0），不反映实际 API 破坏性；是否真有 breaking change 需查官方升级文档、依赖树调用关系及源码 diff，且 --direct 会漏掉被间接依赖拖高的风险包。
composer outdated 标红的 ! major 不代表 API 已破坏
标红只说明该包存在主版本更新（如 monolog/monolog 从 2.9.0 → 3.0.0），但不告诉你是否真有 breaking change。有些 ^2.0 → ^3.0 升级是纯重构、接口未变；有些 1.8.0 → 1.9.0 次版本却删了关键方法——outdated 完全不区分这些。
真正要判断 API 是否破坏，得看三件事：
- 查该包官方文档里有没有
UPGRADING.md或UPGRADE-3.x.md，不是 GitHub Releases 里的模糊描述 - 运行
composer depends --tree vendor/package，确认你代码里是否直接调用了它暴露的类或方法 - 检查
composer show vendor/package输出的require列表，看它是否引入了跨主版本的宽松依赖（比如同时 requirepsr/log:^1.0 || ^2.0），这会让 Composer 在解依赖时“绕过”你的约束
为什么 composer outdated --direct 也漏掉关键破坏点
--direct 只过滤 composer.json 里你写的包，但破坏常来自间接依赖：比如你锁死 guzzlehttp/guzzle 为 ^7.0，而新版本的 laravel/framework 要求 guzzlehttp/guzzle ^8.0，Composer 就会把 guzzle 升到 8.x —— outdated --direct 根本不会显示 guzzlehttp/guzzle，因为它不是你直接 require 的。
这种“被拖高”的情况更危险，因为：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 你没在
composer.json里写它，也就不会主动去查它的 changelog -
composer update --dry-run会暴露它，但outdated不会 - 运行
composer prohibits guzzlehttp/guzzle:8.0.0才能反向定位是谁在拉高版本
用 composer show -s 查源码地址后必须人工核对 diff
composer show -s vendor/package 输出的 source 字段（如 "url": "https://github.com/Seldaek/monolog.git"）才是真实更新记录入口。GitHub Releases 页面常省略内部重构细节，而真正的 API 变动往往藏在 commit diff 里。
实操建议：
- 拿到两个版本号后（比如
v2.8.0和v2.9.0），用git -C vendor/monolog/monolog log --oneline v2.8.0..v2.9.0 -- src/看核心目录变动 - 重点搜
remove、deprecated、rename、interface、final这类关键词 - 如果本地没用
prefer-source安装，就访问https://github.com/Seldaek/monolog/compare/v2.8.0...v2.9.0，别只看 tag message
升级后 TypeError 不是 Composer 的错，而是约束失效的信号
报 TypeError: Argument 1 passed to Foo::bar() must be string, int given 或 Class not found，说明版本约束已失效，不是命令没跑对。这时候回看 composer.lock 里该包的真实安装版本，再对比 composer show 输出的 require 列表，大概率发现某个上游包悄悄松开了约束。
容易被忽略的环节：
-
composer dump-autoload -o后没清 OPCache，旧 autoload 映射还在生效 - 测试环境 PHP 版本比生产低（比如本地 8.2，生产 8.3），某些弃用警告在本地根本不出现在日志里
- HTTP 响应头被框架新版本默认改写（如加了
Content-Security-Policy），前端报 CORS 却以为是 JS 逻辑问题
