Composer 没有内置 bump 命令，因其设计哲学强调“显式优于隐式”，避免自动修改版本约束带来的兼容性风险；升级依赖需用 composer require 手动调整或借助第三方工具 composer-bump。
Composer 没有内置的 bump 命令，直接运行 composer bump 会报错：「Command "bump" is not defined.」依赖版本升级必须靠组合命令或第三方工具实现。
为什么 composer bump 不存在？
Composer 的设计哲学是“显式优于隐式”——它不自动修改 composer.json 中的版本约束（如 "monolog/monolog": "^2.8"），因为 bump 操作涉及语义化版本（^、~、*）含义判断、兼容性风险和项目上下文理解，这些无法由核心命令安全推断。
- 官方只提供
composer update（按当前约束拉取最新匹配版本）和composer require（添加/覆盖约束） -
composer outdated可识别可升级包，但不修改约束本身 - 任何“自动 bump”行为都需外部逻辑介入
用 composer require 手动 bump 约束的实操方式
这是最可控、无需额外依赖的方法，适用于明确知道目标版本范围的场景。核心是重复执行 composer require 并指定新约束，Composer 会自动覆盖 composer.json 中原有条目。
- 把
"phpunit/phpunit": "^9.5"升级为"phpunit/phpunit": "^10.0"：composer require phpunit/phpunit:^10.0
- 将固定版本
"symfony/http-foundation": "6.2.7"改为 caret 约束：composer require symfony/http-foundation:^6.2
- 注意：如果包已存在，
require默认会更新约束并执行update；加--no-update可只改composer.json
用 tools/composer-bump 这类第三方工具批量处理
当需要按规则批量 bump 多个包（如全部升到最新主版本、统一加 ^、跳过 dev 包），推荐使用社区维护的 composer-bump 工具：
- 安装：
composer global require webmozart/composer-bump
- 把所有
^2.x约束升级为^3.x（仅限主版本）：composer-bump --major
- 只 bump dev 依赖：
composer-bump --dev-only --minor
- ⚠️ 风险点：它直接写入
composer.json，务必确保已提交当前状态，且后续要运行composer update验证实际安装结果
真正难的不是执行 bump 动作，而是判断该 bump 到哪个约束才既满足新功能需求，又不破坏现有兼容性——这需要读 CHANGELOG、看 BC break 提示、结合自己代码里实际调用的 API 范围来决定，工具只能帮你改文本，不能替你做技术决策。
