Dependabot 或 Renovate 可自动化生成 Composer 依赖更新 PR，但必须配置 package-ecosystem: "composer"、directory: "/"，且需 CI 补上 composer update --lock --no-install 同步锁文件，否则合并必失败。
Composer依赖更新为什么不能靠手动检查
因为 composer outdated 只告诉你有新版本，不区分是否兼容、是否含破坏性变更、是否已修复安全漏洞。人工判断每个包的 semver 级别和 CHANGELOG 内容，在每日多次迭代的敏捷节奏里根本不可持续——你刚 merge 一个 PR，另一个包又出了 patch 版本，没人能跟上。
用 dependabot 或 renovate 实现自动 PR 的关键配置点
GitHub 原生的 dependabot 对 Composer 支持有限（只认 composer.json，不解析 platform 或 config.platform.php），容易误报“可升级”但实际因平台约束失败。更稳妥的是用 renovate，它支持完整解析 Composer 锁文件和平台配置：
-
packageRules中必须加"matchPackageNames": ["php"]才能正确处理platform.php版本锁定 -
rangeStrategy: "bump"比replace更适合 PHP 生态，避免把^8.1强制改成^8.2导致 CI 失败 - 在
composer.json里显式声明"config": {"sort-packages": true}，否则renovate生成的 diff 会因排序不一致触发大量无关变更
CI 阶段验证 Composer 更新是否真能通过
收到 PR 后，光跑 composer install 不够。很多包在 require-dev 里声明了测试工具，但主 require 没锁死 PHP 版本，导致本地开发是 PHP 8.2、CI 用的是 8.1，composer update 结果不一致。必须：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- CI 脚本中用
composer install --no-interaction --prefer-dist --ignore-platform-reqs先装依赖，再用composer show --platform核对实际生效的 PHP 版本 - 在
.gitlab-ci.yml或github/workflows/ci.yml中为每个 PR 显式指定PHP_VERSION，且该值要和composer.json的config.platform.php严格一致 - 加一条
composer validate --strict，它会报出require和require-dev中重复包、未声明的autoload类路径等问题——这些在手动更新时极易被忽略
为什么不能让 Renovate 直接合并 PR
Composer 的依赖图太深，monolog/monolog 升级可能间接影响 symfony/console 的异常输出格式，而这种变化不会触发单元测试失败，但会让日志管道解析出错。所以：
- 禁用
automerge，所有 Composer PR 必须有人工确认 - 在 PR 描述模板里强制要求填写「本次更新涉及的 runtime 行为变更」，例如：
guzzlehttp/guzzle从 7.5 → 7.6 会默认启用http_errors=false，影响HttpClient::request()抛异常逻辑 - 给
composer.lock文件加gitattributes规则：composer.lock -diff -merge，防止多人同时改依赖时 Git 自动合并 lock 文件导致冲突或损坏
真正麻烦的不是生成 PR，而是判断哪个 minor 版本其实在内部改了异常继承链，或者哪个 patch 版本悄悄删了一个 @deprecated 方法——这些信息不会出现在 composer outdated 输出里，得靠读包的 UPGRADE.md 或翻提交记录。自动化只是把人从“找更新”解放出来，没把人从“读变更”里解放出来。
