直接升级指定包并生成可追溯更新记录的关键是组合使用composer update精确限定包名、--dry-run验证及composer show差异比对。需先显式固定子依赖版本，再执行更新，并通过show --format=json导出前后快照比对变更。
直接升级指定包并生成可追溯的更新记录，关键在于组合使用 composer update 的精确包限定 + --dry-run 验证 + composer show 差异比对，而非依赖 composer outdated 的粗粒度提示。
只升级某个包（比如 monolog/monolog）且不连带升级其依赖
默认 composer update monolog/monolog 仍可能升级其子依赖（如 psr/log），除非显式锁定。要真正“仅更新该包”，需配合 --with-dependencies 的反向操作——即先禁用它，再手动确认子依赖版本：
- 运行
composer update monolog/monolog --no-update-with-dependencies（Composer 2.5+ 支持；旧版不识别该参数，实际等效于默认行为） - 更可靠的做法：先查清当前
monolog/monolog所需的psr/log版本范围（composer show monolog/monolog | grep requires），再在composer.json中显式固定该子依赖版本，例如"psr/log": "^1.1" - 执行
composer update monolog/monolog后，用composer show psr/log确认未变动
导出本次升级前后的完整包版本快照
单纯靠 composer.lock 文件 diff 不直观，尤其当多人协作或需向运维提供变更清单时。应主动导出结构化版本记录：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 升级前执行：
composer show --format=json > before.json - 升级后执行：
composer show --format=json > after.json - 用命令行工具比对差异：
diff -u before.json after.json | grep -E '^\+|^-|name|version'（过滤出关键字段） - 若需人眼友好格式，可用
jq提取变更项：jq -s '.[0] as $before | .[1] as $after | $after.packages[] | select(.version != ($before.packages[] | select(.name == .name).version)) | {name: .name, before: ($before.packages[] | select(.name == .name).version), after: .version}' before.json after.json
避免 composer update 意外触发全量重装
常见误操作是执行 composer update 时不加任何参数，尤其在 CI 环境中极易导致 vendor/ 重建、缓存失效、构建时间激增。必须明确约束范围：
- 永远不要在自动化流程中使用无参
composer update；CI 脚本中应强制校验命令是否含包名或--dry-run - 升级前务必加
--dry-run：例如composer update monolog/monolog --dry-run，观察输出是否仅列出预期包及其直接依赖 - 若项目启用了
config.allow-plugins，注意某些插件（如phpstan/extension-installer）可能在update时触发额外安装逻辑，导致行为偏离预期
真正可靠的更新记录不是靠事后翻 git diff composer.lock，而是把 show --format=json 快照作为每次 update 的前置/后置步骤固化下来——哪怕多两行命令，也能避开“到底动了哪些包”的扯皮。
