默认情况下composer update vendor/package仅更新指定包的直接版本约束，不更新子依赖；使用–with-dependencies可安全更新其一级子依赖并保持一致性，推荐日常使用。
默认情况下，composer update vendor/package 只会更新指定包的**直接版本约束**，不会强制刷新它的子依赖（即该包 composer.json 中声明的依赖）。要让子依赖也同步更新到兼容的最新版本，关键在于触发 Composer 的“重新解析整个依赖图”逻辑。
用 --with-dependencies（推荐）
这是最直接、最安全的方式。它告诉 Composer：不仅要更新目标包，还要连带更新所有被它直接依赖的包（一级子依赖），并确保整体依赖一致性。
- 运行：
composer update vendor/package --with-dependencies - Composer 会重新计算
vendor/package及其所有直接依赖的最新可安装版本（在满足composer.lock和项目根composer.json约束的前提下） - 不会递归更新子依赖的子依赖（即二级以后），避免意外升级范围过大
- 适合大多数场景，语义清晰，行为可预期
省略包名，只用 composer update
如果你希望整个项目依赖树都刷新到各包 composer.json 允许的最新版本（受限于版本约束），就直接运行：
-
composer update—— 更新全部，包括所有嵌套层级的依赖 -
composer update --dry-run先预览变更，避免误操作 - 注意：这可能带来较多变动，尤其当某些包已长时间未更新时
手动删锁文件再更新（不推荐，仅调试用）
极端情况下（比如怀疑 composer.lock 缓存导致解析异常），可临时清空依赖状态：
- 删除
composer.lock和vendor/目录 - 运行
composer install—— 这会按composer.json重新解析并安装所有依赖（含最新兼容版本） - ⚠️ 风险高：会丢失精确版本锁定，可能导致线上环境不一致，仅限本地排查
基本上就这些。日常维护优先用 --with-dependencies，既精准又可控。