composer outdated 显示的是已安装版本与当前稳定分支下最新可用版本的对比，而非与 composer.json 约束或 packagist 绝对最新版比较；默认忽略 dev 分支、rc/beta 版本及安全更新，需配合 --all、--security-only、--stability 等参数调整行为。
composer outdated 显示的版本号到底代表什么
它显示的是「已安装版本」和「当前稳定分支下最新可用版本」的对比，不是和 composer.json 中声明的约束范围比，也不是和 packagist.org 上绝对最新版比。比如你锁定了 "monolog/monolog": "^2.8"，而 2.10 已发布，但 3.x 尚未进入稳定分支（如 stable channel），composer outdated 就只会提示 2.10 可升级——哪怕 3.0-alpha 已存在。
常见错误现象：composer outdated 没列出某个包，但你知道它有新 patch 版本；原因通常是该包在 composer.lock 中被固定到具体 commit 或 dev 分支，而 outdated 默认只检查 tagged releases。
- 加
--all参数可强制检查所有包（包括 dev 分支和dev-main类型） - 加
--direct只看composer.json里直接声明的依赖，跳过层层传递下来的间接依赖 - 默认不显示安全更新（如 CVE 修复版），要加
--security-only才单独筛选
为什么有些包明明有新版却不显示在 outdated 结果里
核心原因是 Composer 的版本解析逻辑严格遵循 composer.json 中的约束 + 当前仓库 stability 设置。如果一个包的新版本标记为 beta 或 RC，而你的 config.minimum-stability 是 stable（默认值），那它就不会被纳入比较范围。
使用场景：你在本地开发时把 minimum-stability 改成 dev 测试新特性，但上线前忘了改回去——这时 composer outdated 可能突然“多出一堆包”，其实是稳定性策略变了导致可见范围扩大。
- 检查当前 stability 策略：
composer config minimum-stability - 临时提高可见性：运行
composer outdated --stability=beta - 注意
prefer-stable: true会压制非 stable 版本，即使minimum-stability设为dev也可能过滤掉它们
如何快速定位哪些 outdated 包会影响升级路径
不是所有标黄的包都能直接 update。Composer 会按依赖图做兼容性推导，某些包看似可升，实则因其他依赖锁死其主版本。最典型的信号是：composer outdated 列出 A 包有新版，但 composer update a/package 报错说 “conflict with b/other”。
性能影响：全量 composer update 会重新解析整个依赖图，耗时可能数分钟；而只升单个包时 Composer 仍需校验图完整性，但跳过部分缓存重建，更快。
- 先用
composer show a/package查它当前被谁依赖：requires和required-by字段很关键 - 加
-t参数看完整依赖树：composer show -t a/package - 如果某包出现在多个
required-by行里，且版本约束松散（如^1.0 || ^2.0），说明它大概率是升级瓶颈点
CI/CD 中自动检测 outdated 的实用写法
别直接用 composer outdated 做退出码判断——它默认成功退出（exit code 0），哪怕有一百个包过时。必须靠输出内容判断，且要注意 ANSI 颜色字符干扰解析。
容易踩的坑：在 shell 脚本里用 composer outdated | grep -q "something"，结果因颜色控制符（如 \x1b[33m）导致匹配失败；或者忽略 --no-ansi 导致 CI 日志乱码。
- 安全可靠的检测命令：
composer outdated --no-ansi --direct --minor-only --format=json | jq -e 'length == 0' -
--minor-only排除 patch 升级（避免每天报警），只关注可能含 breaking change 的 minor/major - 若用 GitHub Actions，记得在
composer install后加--no-interaction --no-progress，否则outdated可能卡住
复杂点在于：同一个包在不同项目中，是否值得升级，取决于它的 API 变动记录和你实际调用的函数。比如 symfony/http-foundation 升 6.4 → 6.5，如果你没用 Request::getPayload() 这类新方法，其实可以暂缓。工具只能告诉你“有新版本”，不能替你读 changelog。
