直接运行 composer update vendor/package-name 即可只更新指定依赖包；它检查版本约束、仅升级该包及必要直接依赖，跳过其他包；配合 –with-all-dependencies 可递归更新其满足约束的子依赖；建议先用 –dry-run 预览变更再执行，并确保 composer.json 版本约束合理且更新后提交 composer.lock。
直接运行 composer update vendor/package-name 即可只更新指定的依赖包，无需更新整个 composer.json 中的所有依赖。
只更新单个包的基本命令
Composer 支持在 update 命令后跟上包名（格式为 vendor/name），它会：
- 检查该包及其子依赖是否满足
composer.json中定义的版本约束 - 仅升级该包（及必要时连带更新其直接依赖）
- 跳过其他未列出的包，保持它们当前锁定的版本不变
例如：composer update monolog/monolog 就只会更新 monolog，不影响 laravel/framework 或 guzzlehttp/guzzle 等其他包。
配合 –with-all-dependencies 更精准控制
某些情况下，目标包的子依赖可能也需要同步更新（比如新版本要求更高版本的 psr/log），这时可以加 --with-all-dependencies：
composer update vendor/package --with-all-dependencies- 它会让 Composer 同时更新该包及其所有（递归）依赖中满足版本约束的部分
- 仍不会碰其他无关包，比单纯
update更彻底，又比全量更新更安全
避免意外升级：先看差异再执行
执行前建议用 --dry-run 预览实际会变更哪些包：
composer update vendor/package --dry-run- 输出会列出将被安装/降级/跳过的具体包和版本
- 确认无误后再去掉
--dry-run真正执行
这能防止因版本冲突或隐式依赖变化导致的意外行为。
注意 lock 文件和版本约束
最终能否成功更新，取决于 composer.json 中对该包的版本约束（如 "^2.0" 或 "dev-main"）：
- 如果写的是固定版本（如
"1.2.3"），update不会改变它 - 如果写的是分支名（如
"dev-develop"），需加--with-dependencies或确保远程有更新 - 更新后记得提交新的
composer.lock，否则团队其他人不会同步变更
基本上就这些。不复杂但容易忽略细节，关键是用对命令参数、看清版本约束、别跳过 dry-run 验证。