应使用^约束锁定兼容范围，如"monolog/monolog": "^2.8.0"等价于">=2.8.0 <3.0.0"，遵循SemVer排除主版本跃迁，避免用*或dev-main等高风险写法。
用 ^ 而不是 * 或 dev-main 锁定兼容范围
直接写 "monolog/monolog": "*" 或 "your/package": "dev-main" 是升级风险最高的写法——前者可能拉入破坏性大版本，后者在 minimum-stability 未显式配置时大概率触发 Could not find package 错误。
推荐做法是坚持用 ^ 约束：它遵循 SemVer，自动排除主版本跃迁。比如 "^2.8.0" 等价于 ">=2.8.0 ，既允许 bug 修复和功能增强，又守住 ABI 兼容边界。
- 新包首次引入时，优先执行
composer require vendor/package:^2.8.0，而不是默认接受最新版 - 已有
*或dev-引用的，先运行composer show vendor/package查当前解析版本，再手动改composer.json为对应^x.y.z - 避免
^1.0这类宽泛约束——它实际覆盖 1.x 全系列，但某些 1.x 小版本之间仍有不兼容变更（如 Laravel 9.50+ 对 Flysystem 的签名调整）
升级前必须跑 composer update --dry-run
很多人跳过这步，直接 composer update vendor/package，结果发现子依赖被意外升到不兼容版本（例如 guzzlehttp/guzzle 从 7.5 升到 8.0，导致你代码里 ->send() 返回值类型变化）。
--dry-run 不改任何文件，只模拟解析过程，能提前暴露三类问题：
- root requirements could not be resolved（下游项目已锁死冲突版本）
- Package
xxxhas a PHP requirement incompatible with your PHP version（PHP 版本不匹配） - Downgrading
yyyfrom 3.2.0 to 2.9.0（降级警告，常意味着你或某个依赖悄悄松动了约束）
特别注意：如果输出里出现 Installing xxx (dev-develop)，说明该包没打稳定 tag，--dry-run 仍会尝试装开发分支——此时应立刻检查其 composer.json 是否设了 "minimum-stability": "stable"。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
对 PHP 自身版本约束要和 CI 环境严格一致
"php": "^8.1" 看似稳妥，但如果 CI 流水线用的是 php:8.1.22-cli，而本地开发用 php:8.1.30，某些扩展行为差异（如 mbstring 处理 surrogate pair 的方式）可能只在特定小版本暴露。
更危险的是写成 "php": ">=8.1"：Composer 会允许 8.4 甚至 9.0（若已发布），但你的框架或扩展很可能还没适配。
- CI 配置中 PHP 版本号（如 GitHub Actions 的
php-version: '8.1'）必须和composer.json中的php字段完全对齐，包括小版本号（即"php": "8.1.22"） - 使用
composer platform-check（Composer 2.5+）验证当前环境是否满足所有platform声明 - 如果项目需多 PHP 版本兼容，不要靠
||拼接（如"php": "^8.1 || ^8.2"），而应在 CI 中分 job 测试，composer.json只声明最低支持版本
用 composer outdated --direct 识别真正该动的依赖
composer outdated 默认列出全部嵌套依赖，信息过载；而 --direct 只显示你 composer.json 里明确定义的包，这才是你该决策的地方。
但它只告诉你“有更新”，不告诉你“该不该升”。判断依据不是版本号高低，而是：
- 目标版本是否仍在你声明的约束范围内（例如你写
"^2.0"，而outdated显示2.10.0 → 2.11.0，可安全升） - CHANGELOG 里是否有
BC BREAK或DEPRECATION（尤其关注你实际调用的函数，如Carbon::createFromTimestamp()在 2.70.0 被标记废弃） - 你是否用了该包的非标准用法（比如绕过 Facade 直接 new 一个内部类，这种用法在 minor 版本也可能被删）
真正容易被忽略的点是：有些包的“稳定版”其实只是 tag 名称，背后仍是 dev 分支构建（如某些私有 GitLab 包未设 "dist" 配置），这时 outdated 显示的版本号可能根本没经过完整测试。遇到这种情况，必须查其源码仓库的 release 页面或 CI 构建记录，不能只信 Composer 输出。
