应避免直接运行 composer update，而需先用 composer outdated --direct 检查显式依赖更新及安全风险，再按需指定包名或范围执行 update，并同步提交 composer.lock 文件。
别直接跑 composer update，它会重算整个依赖图，不是升级，是重新谈判。
升级前必须看 composer outdated --direct
这个命令不改任何文件，只告诉你哪些显式声明的包有新版本，且暴露三类真实风险：
- 带
[security]标记的行，比如guzzlehttp/guzzle 7.8.1 → 7.8.2 [security]，说明有已知漏洞 - 主版本跳变，如
symfony/console 5.4.39 → 6.4.0，表示你的约束已允许升到 v6，但代码未必兼容 - 某包在
composer.json里写了"^2.0"却没出现在输出里——大概率被replace或require-dev干扰了依赖图
常见陷阱：如果 outdated 输出为空，先检查 "minimum-stability": "stable" 和 "prefer-stable": true 是否把候选更新全过滤掉了。临时删掉这两行再试一次。
composer update 必须指定包名或范围
不加参数的 composer update 是生产事故高发操作。真实维护中只允许以下写法：
- 只升一个包：
composer update monolog/monolog:^3.5（明确版本范围，避免升到 v4） - 升一组配套包：
composer update laravel/framework illuminate/support illuminate/http（Laravel 项目漏掉illuminate/support常导致Class not found） - 专升开发依赖：
composer update --dev phpunit/phpunit:^10.5（--no-dev不够安全，它仍会更新所有require-dev下的包）
注意：composer update guzzlehttp/guzzle 默认只更新该包本身，它的子依赖（如 psr/http-message）可能卡在旧版。要连带更新，得加 --with-all-dependencies，但前提是这些子依赖没被其他包硬锁住。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
升级后 vendor/autoload.php 失效？先别删 vendor
90% 的“类找不到”不是包没装对，是自动加载映射没重建。执行：
composer dump-autoload -o
即可生成优化后的静态映射。如果用了自定义 PSR-4 命名空间，顺手检查 composer.json 的 autoload 段是否被意外覆盖或缩进错乱——升级过程可能悄悄覆盖了你手动改过的配置。
composer.lock 不是缓存，是契约文件
它记录了每个包的 exact commit hash、PHP 扩展要求、甚至安装时的平台配置。CI/CD 流水线里误用 composer update 而非 composer install，会导致构建不可重现；生产部署脚本里写 composer update 不带参数，等于主动放弃环境一致性。
真正容易被忽略的是：升级后必须同步提交 composer.lock。很多人只提交 composer.json，结果队友 composer install 装出来的版本和你本地完全不一样——因为 lock 文件没更新，也没进 Git。
