composer update 不加参数会废弃 composer.lock 并全量重解析依赖，引发高负载与不可复现结果；应严格限定为指定包、版本或 --dev 场景，配合 outdated --direct 预判调度代价。
composer update 不加参数会触发全量依赖重解析
它不是“升级所有包”，而是把 composer.lock 整体作废，从头跑一遍 SAT 求解器——解析全部 require 和 require-dev 的约束，重新计算每个包的兼容版本组合。在中大型项目里（vendor 超 200 包、lock 文件 >5MB），这个过程 CPU 占用飙升、内存峰值常破 1.2GB，CI 流水线可能卡住 30 秒以上。
常见错误现象：composer update 在本地秒出结果，但在 CI 里超时失败；或 composer install 突然变慢，其实是前一次无参 update 把 lock 文件写成了高耦合结构，后续 install 得反复校验哈希。
- 真实维护中只允许三种写法：
composer update monolog/monolog、composer update laravel/framework illuminate/support、composer update --dev phpunit/phpunit - 禁用
composer update --no-dev：它仍会解析所有 dev 依赖的约束，只是不安装，耗时不减反增（因多做一次冲突判断） - CI 脚本里出现无参
update，等于默认开启「随机负载调度」——你永远不知道它这次会选哪条依赖路径来解，结果不可复现
加 --with-all-dependencies 后的调度行为变化
这个参数不改变求解目标，但大幅扩大搜索空间：Composer 会把当前项目所有已声明包（含 require-dev）的间接依赖也纳入版本浮动范围。原本只动 guzzlehttp/guzzle 及其直系子依赖（如 psr/http-client），加了参数后连 symfony/polyfill-mbstring 这种被 12 个包共用的底层 polyfill 都可能升到新 patch 版。
性能影响明显：实测 Laravel + 47 个私有包项目，composer update guzzlehttp/guzzle 耗时 2.1s；加 --with-all-dependencies 后升至 8.9s，且生成的 composer.lock 中有 63 个包版本变更（其中 41 个与业务逻辑完全无关）。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 它不会更新 lock 文件里的孤儿包（比如卸载过的
phpunit/phpunit残留项） - 若某间接依赖存在冲突约束（如 A 要
^1.2、B 要^1.5），仍会报错退出，不会强行降级或跳过 - CI 中建议搭配
composer validate --strict使用，提前发现 lock 文件中已失效的约束链
精准指定版本号如何压缩调度开销
用 composer update vendor/package:version（如 composer update guzzlehttp/guzzle:^7.5.0）是最可控的方式。Composer 此时跳过 SAT 求解，直接查该包在 packagist 上符合约束的最高可用版本，再检查是否与现有 lock 文件冲突。整个过程基本是 O(1) 查询+局部校验，耗时稳定在 300ms 内。
关键点在于：它不重新计算其他分支，也不触碰未被该包显式声明的子依赖。比如 monolog/monolog:^3.0.0 依赖 psr/log:^3.0，但若项目里已有 psr/log:^2.0 且被其他包锁定，Composer 就会报错，而不是尝试升级 psr/log——这反而是好事，暴露了隐性冲突。
- 执行前务必先
composer show vendor/package确认目标版本确实存在且可安装 - 避免用
composer require替代：它会改写composer.json并触发完整 install 流程，等效于无参 update - 安全修复场景下，宁可多敲几个字写全版本号，也不要图快只写包名
为什么 composer outdated --direct 是负载调度的前置探针
composer outdated --direct 本身不触发任何安装或解析，只是读取 composer.lock 和 packagist 元数据做比对。但它能提前告诉你哪些包升级会引发高代价调度：主版本跳变（如 symfony/console 5.4 → 6.4）、安全更新（标 [security]）、或约束失效（某包没出现在输出里，说明被 replace 或 require-dev 扭曲了依赖图）。
漏掉这步直接上 update，等于闭眼进调度队列——你根本不知道接下来要解的是一个 3 变量方程，还是一个 200+ 变量的 NP 完全问题。
- 如果
outdated --direct输出为空，先检查composer.json是否设了"minimum-stability": "stable"，临时删掉再跑一次 - CI 中建议每日跑
composer outdated --minor-only，避开主版本带来的调度爆炸风险 - 输出里带 → 符号的行，就是你下一步要手动输入的
composer update命令原型
composer update 都在重写这个策略，而没人检查它是否还匹配当前 PHP 版本、扩展要求、甚至团队协作节奏。 
