Composer update 不跨主版本升级，必须手动修改 composer.json 中的版本约束（如 "^2.5" 改为 "^3.0"）再执行 update；批量升级需谨慎控制范围、备份 lock 文件、验证 autoload，并避免滥用 --with-all-dependencies。
composer update 本身不支持“批量升级到最新主版本”
直接运行 composer update 不会跨主版本升级任何包。它只在 composer.json 中已声明的约束范围内找兼容的最新版本，比如 "monolog/monolog": "^2.8" 最多升到 2.x 的最高 patch 版，绝不会跳到 3.0。所谓“批量升级”，本质是批量放宽约束 + 重新求解依赖树，不是一键 magic 命令。
想批量升主版本？先改 composer.json 再 update
跨主版本（如从 v2 升到 v3）必须显式修改版本约束，否则 Composer 根本不会考虑。常见错误是误用 composer require vendor/package:^3.0 —— 它会强制重写 composer.json 并可能引入冲突，尤其当该包已被其他依赖间接拉入时。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 安全做法：用脚本提取所有顶层依赖名（
composer show --direct --no-dev），再逐个执行composer require vendor/package:^3.0 --with-all-dependencies - 更可控的做法：手动打开
composer.json，把"^2.5"改成"^3.0"，再跑composer update vendor/package --with-all-dependencies - 别用
*或dev-main这类宽松约束，它们会让 CI 构建不可重现
全局包不能靠 composer global update 一键搞定
composer global update 没有实际意义，极易因 PHP 版本、互斥依赖或废弃包直接失败，报错信息还不明确。它不像项目内 update 那样有 lock 文件兜底。
- 先查装了啥：
composer global list或composer global show - 对每个要升的包，显式指定版本：
composer global require phpunit/phpunit:^10.0 - 长期不用的包建议卸载：
composer global remove laravel/installer，改用项目内composer require --dev laravel/installer - 确认镜像生效：
composer config -g repo.packagist应输出阿里云或腾讯云地址
真正“批量”的风险点：--with-all-dependencies 不等于安全
加 --with-all-dependencies 参数会让 Composer 递归放开所有已安装包的约束重新计算，但它仍受 composer.json 里每个包的版本字符串限制。依赖越复杂，SAT 求解耗时越长，甚至卡住或 OOM；而且它不会清理 composer.lock 里残留的孤儿包。
- 务必先备份：
cp composer.lock composer.lock.bak - CI 流程中禁用该参数，改用
composer update package-a package-b --with-dependencies控制范围 - 升级后立刻执行
composer dump-autoload -o，否则类找不到大概率是 autoloader 没刷新 - 变更量太大（
composer.lock差异超 50 行）就暂停，用composer update --dry-run预览再决定
composer.lock 里某条旧子依赖是否还被任何包引用——它可能早已失效，却在下次 update 时突然搅局。 
