Composer的 outdated 命令有什么用？ (依赖更新检查)

composer outdated 列出已安装且存在满足当前版本约束的新稳定版（或预发布版，若加–all）的依赖包；不显示最新版、超约束版或仅预发布版。

composer outdated 用来列出当前项目中所有**已安装但存在更新版本的依赖包**，不修改 composer.json 或 vendor/，纯检查用途。

哪些包会被列出来？

默认只显示「有新版本、且满足当前 composer.json 中版本约束」的包。比如你的 "monolog/monolog": "^2.8" 已装 2.8.0，而 2.9.0 已发布且兼容 ^2.8，它就会出现在结果里。

以下情况不会出现：

• 已装最新稳定版（如约束是 ^3.0，当前装了 3.0.2，而最新是 3.0.2）
• 新版本超出当前约束范围（如约束是 ^2.8，3.0.0 发布了，但不满足 ^2.8）
• 仅预发布版本可用（如只有 3.1.0-beta1），除非加 --all

怎么看出该不该升级？

输出每行包含四列：包名｜已安装版本｜最新匹配版本｜版本类型（stable / RC / beta 等）。关键看第三列是否为 stable，以及和第二列的语义差异：

• symfony/console v5.4.21 → v5.4.32：小版本更新，通常安全，含 bug 修复
• laravel/framework v10.10.0 → v11.0.0：主版本跃迁，大概率有 breaking change，不能直接 update
• phpunit/phpunit 9.5.26 → 10.5.0 (stable)：主版本变更，需确认测试套件兼容性

注意：它不分析实际代码是否调用了可能被移除的 API，只做版本号层面的匹配判断。

常用参数组合与陷阱

默认输出较宽，容易漏读。建议搭配这些参数用：

• composer outdated --direct：只看 composer.json 里直接声明的包（忽略递归依赖），适合聚焦维护重点
• composer outdated --minor-only：只显示同主版本内的更新（如 2.8.x → 2.9.x），跳过 2.x → 3.x
• composer outdated --outdated：强制刷新本地元数据（避免缓存导致漏报）
• composer outdated --format=json：输出 JSON，方便脚本解析（CI 中自动告警常用）

⚠️ 容易踩的坑：outdated 不检查 PHP 或扩展版本兼容性。比如某包新版本要求 php >= 8.2，而你还在用 8.1，它仍会显示“可更新”，但后续 composer update 会失败。

和 update 的关系是什么？

outdated 是只读检查，update 是写操作。运行 composer update vendor/package 时，Composer 实际执行的逻辑和 outdated 的判断基本一致——都是找满足约束的最新可用版本。但区别在于：

• outdated 基于当前 composer.lock 和远程仓库元数据比对
• update 会重新解析依赖图、执行安装、写入新 lock 文件
• 即使 outdated 没列出某个包，update 仍可能升级它（比如它的子依赖升级触发了重新计算）

所以别把 outdated 当升级清单，它只是起点。真正要升级前，得看 CHANGELOG、跑测试、查 BC Break 文档。