composer update vendor/package-name 是单包更新的正确写法，严格基于 composer.lock 执行最小变更，仅更新该包及其直系依赖的版本与哈希，不触发全量重解析。
composer update 只更新一个包的正确写法
直接运行 composer update vendor/package-name 就行，不需要加 --with-dependencies 或其他修饰——这是最常用也最可靠的单包更新方式。
常见错误是写成 composer update --package vendor/package-name（根本不存在这个参数），或者误用 composer require vendor/package-name（这会尝试安装最新稳定版，但可能触发重装整个锁文件）。
- 必须写全包名，包括 vendor 名，比如
composer update monolog/monolog，只写monolog会报错 - 如果该包被其他依赖硬性约束（比如
phpunit/phpunit要求sebastian/exporter ^4.0），Composer 仍会更新其兼容版本，但不会升级到突破约束的版本 - 执行后
composer.lock仅变更该包及其直系依赖的哈希和版本号，其余包不受影响
为什么不用 composer require --update-with-dependencies
composer require 的本质是“添加或调整依赖声明”，不是“更新已存在包”。哪怕加上 --update-with-dependencies，它也只重新解析当前 require 区块并拉取满足条件的最新版本，容易绕过 composer.lock 的精确控制。
典型翻车场景：你本想把 guzzlehttp/guzzle 升到 7.8.1，但 require 里写的是 "^7.2"，结果 require 命令可能升到 7.8.2（如果刚发布了），甚至意外带上 guzzlehttp/psr7 的新版——而你根本没打算动它。
-
composer update vendor/package严格基于 lock 文件做最小变更，更可控 -
composer require更适合新增包，或明确要重写某条 require 规则时使用 - 如果真要用
require强制指定版本，得写成composer require vendor/package:7.8.1，但此时它会检查冲突并可能拒绝，不如update直接
更新失败时先看这三处错误提示
单包更新失败，90% 出在版本约束冲突上。别急着删 vendor 或 composer.lock，先盯住终端输出里的关键线索：
- 出现
Conclusion: don't install vendor/package X.Y.Z：说明某个已装包（可能是 root 项目或另一个依赖）锁死了该包的版本上限 - 出现
Root composer.json requires vendor/package ^A.B, found ... in lock file：你的composer.json里写的约束太窄，连当前 lock 文件里的版本都不满足了 - 出现
Package operations: 0 installs, 0 updates, 1 removal后就结束：说明 Composer 认为“无需更新”——可能本地 lock 文件里已经是目标版本，或你输错了包名
这时候建议先运行 composer show vendor/package 确认当前装的是哪个版本，再查 composer why vendor/package 看谁在依赖它，比盲目重试快得多。
dev-main / git 分支包怎么安全更新
如果你的 composer.json 里写了 "vendor/package": "dev-main" 或 "dev-develop as 1.2.3" 这类开发分支引用，composer update vendor/package 默认不会拉新 commit——它只按 lock 文件里的 commit hash 安装。
- 要强制更新到分支最新，得加
--with-all-dependencies（注意不是--with-dependencies）：composer update vendor/package --with-all-dependencies - 更稳妥的做法是先
git pull对应仓库的main分支，再运行composer update vendor/package，否则可能因远程分支 fast-forward 导致 hash 不一致 - 这类包没有语义化版本保护，更新后务必跑测试，尤其注意
autoload-dev和require-dev是否被意外引入生产环境
真正麻烦的从来不是命令怎么敲，而是搞清“这个包到底被谁卡着”——多看 composer why 和 composer show 的输出，比背命令有用得多。
