composer outdated是最轻量可靠的更新检查命令，仅读取composer.json和Packagist元数据，列出可升级包、当前/最新版本及主版本跃迁（带!标记）；加--direct只看根依赖，--minor-only过滤非破坏性更新，但无法识别被其他包锁死或conflict导致的隐式不可升情况。
直接用 composer outdated 查更新，配合 composer show -t 看依赖树，再加 Git 提交记录就能完成基础追踪；真要自动化监控，得靠脚本+CI 触发，不是装个插件就完事。
怎么用命令行快速确认哪些包有更新
composer outdated 是最轻量、最可靠的起点。它不改任何文件，只读取 composer.json 和 Packagist 元数据，列出所有可升级的包、当前版本、最新兼容版本，以及是否含主版本跃迁（带 ! 标记）。
- 加
--direct只看根依赖（即你手动写在composer.json里的），跳过间接依赖干扰 - 加
--minor-only或--patch-only可过滤掉主/次版本更新，适合保守型项目 - 注意：它不会告诉你某个包是否被其他包“锁死”，比如
laravel/framework强制要求symfony/console:^6.4，即使symfony/console:^7.0已发布，outdated也不会显示——因为不满足约束
为什么不能只靠 composer update --dry-run 做变更预览
composer update --dry-run 看起来能模拟升级，但实际不可靠：它仍会部分解析依赖图、下载元数据，甚至触发某些插件的钩子逻辑；更关键的是，它不反映 composer.lock 的真实变更粒度——比如某个包的小版本更新可能连带更新了 5 个未声明的子依赖，而 --dry-run 输出里根本看不出哪几行 lock 文件会被动改。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 真正安全的预览方式是先
git stash当前修改，再composer update vendor/package-name，立刻git diff composer.lock查具体变动 - 如果想批量盯多个包，别用
--dry-run，改用composer show vendor/package-name对比本地已安装版本和远程最新版 -
composer update本身会重写整个composer.lock，哪怕只升一个包——所以必须把 lock 文件纳入版本控制，否则无法回溯
如何让 CI 自动捕获依赖更新并触发测试
GitHub Actions 里不能只监听 push，得专门检测 composer.lock 是否变化。因为开发者可能只改了 composer.json 但忘了 update，也可能 update 后没提交 lock，导致 CI 装的不是预期组合。
- 用
git diff --quiet HEAD^ HEAD -- composer.lock判断是否真有变更，而不是靠分支名或 commit message - 检测到变更后，必须运行
composer install --no-dev（不是update），确保还原 lock 文件锁定的状态 - 如果项目区分 dev/prod 依赖，需额外用
jq解析 lock 文件：jq '.packages[] | select(.name | startswith("phpunit/"))' composer.lock，避免测试工具升级意外影响生产环境 - PHP 版本必须固定（如
php-version: '8.2'），否则ext-intl等扩展可用性波动会让测试结果失效
依赖监控最容易被忽略的三个点
一是 composer.lock 里包含哈希值和下载 URL，一旦镜像源切换（比如从 packagist.org 换成国内镜像），lock 文件内容就会变，但 outdated 不报——这属于“非功能变更”，却可能影响构建一致性。
- 二是
repositories配置中的 VCS 类型仓库（如 GitHub 私有库）不会出现在outdated结果里，得单独用git ls-remote检查 tag 更新 - 三是
conflict字段只在composer update时报错，平时完全静默；如果你依赖的包声明了"conflict": {"php": ">=8.3"}，而服务器刚升了 PHP 8.4，outdated和show都不会预警，直到install失败
