正确做法是限制更新范围、复用锁文件、优先验证而非全量重算：更新单个包用 composer update vendor/package，多包则列明；锁文件有效时用 composer install；合并分支冲突勿手动改 lock 文件。
直接更新 composer.json 后执行 composer update 极大概率破坏现有项目 —— 正确做法是限制更新范围、复用锁文件、优先验证而非全量重算。
只更新指定包，避免依赖树连锁重算
默认 composer update 会重新解析整个依赖树，哪怕你只改了一行 composer.json，也可能把 monolog/monolog 从 2.10.0 升到 3.0.0，而你的代码还没适配。实际操作中应明确限定目标：
- 更新单个包：
composer update guzzlehttp/guzzle - 更新多个包：
composer update symfony/console monolog/monolog - 排除干扰项：加
--with-dependencies可选，但多数情况下不加更安全（避免自动带入间接升级）
注意：composer update vendor/package 不会修改其他未列出包的版本，composer.lock 中其余条目保持原样。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
用 composer install 替代 update，前提是锁文件有效
如果你只是克隆了项目、或切换了 Git 分支、或重装了 vendor，但 composer.lock 没变，就该用 composer install —— 它跳过版本解析，直接按锁文件安装，毫秒级完成，零风险。
- 执行前确认：
composer validate应返回 “OK”，且无 “lockfile errors” 提示 - 若提示
Required package "xxx" is not present in the lockfile，说明composer.json新增了依赖但没更新锁文件，此时才需谨慎composer update xxx，而非全量更新
合并分支后出现冲突，别手动改 composer.lock
Git 合并时 composer.lock 出现
- 正确做法：丢弃当前锁文件，用基准分支的
composer.json+composer update --lock重建锁文件 - 或者更稳妥：先
git checkout --theirs composer.json（取对方依赖声明），再composer update --lock，让 Composer 自动协调 - 切勿在生产环境或 CI 流程中跳过
--lock参数，否则等于放弃一致性保障
验证更新影响前，先看 composer why 和 composer outdated
盲目更新前，得知道“谁在用它”和“它到底要不要升”。这两个命令比猜更有用：
-
composer why psr/log显示哪些包直接或间接依赖psr/log，帮你判断升级是否波及核心日志逻辑 -
composer outdated --direct只列出composer.json里明确定义的过期包，排除子依赖干扰 - 如果
composer outdated显示某包有安全更新（标有security），优先单独更新它：composer update vendor/package --with-all-dependencies，但仅限安全补丁场景
真正容易被忽略的是：锁文件不是“快照”，而是“契约”。一旦它和 composer.json 不匹配，install 就会失败；而每次 update 都是在重签契约 —— 所以别把它当临时缓存，要像对待数据库迁移脚本一样审慎对待每一次变更。
