composer outdated 中 red 表示存在非补丁级更新（minor/major），yellow 表示仅有补丁更新（patch），无色表示已是最新或已锁定版本；可用 --minor-only 过滤仅显示安全可升级项。
composer outdated 显示的包为什么有的标 red，有的标 yellow
颜色是 Composer 自己加的语义提示，不是错误也不是警告，纯粹帮你快速判断要不要升级：
• red 表示有**非补丁级更新（minor 或 major）**，比如从 2.1.3 到 2.2.0 或 3.0.0，可能含新功能或不兼容变更
• yellow 表示只有**补丁更新（patch）**，比如 2.1.3 → 2.1.4，通常是修 bug，风险低
• 没颜色 = 当前版本已是最新稳定版，或你锁定了版本（"foo/bar": "1.2.3" 这种写法）
怎么只看真正可安全升级的包（忽略 major 升级）
默认 composer outdated 会把所有可用更新都列出来，包括 breaking change 的 major 版本。如果你只想看“大概率能直接 update 不翻车”的，加 --minor-only 参数：
• composer outdated --minor-only 只显示 minor 和 patch 更新
• 它会跳过所有 major 升级（比如 ^1.5.0 锁定下，2.0.0 就不会出现）
• 注意：这个参数不改变你的 composer.json，只是过滤输出；真要升级还得手动 composer update foo/bar
为什么有些包明明有新版本却不显示在 outdated 结果里
常见原因就三个，按发生频率排序：
• 你用了 ^ 或 ~ 等版本约束，但当前已满足——比如 "monolog/monolog": "^2.8"，而最新是 2.10.0，它就属于“已被允许范围内”，outdated 默认不提醒
• 包被 replace 或 provide 了（比如用 psr/log-implementation 替换了 monolog/monolog），Composer 认为“功能已覆盖”，不视为过时
• 你本地运行了 composer install --no-dev，但 outdated 默认检查 require-dev，想排除 dev 包就加 --no-dev
想批量检查多个项目、或集成进 CI，怎么避免交互干扰
composer outdated 默认带彩色输出和表格格式，CI 环境容易解析失败。实际用的时候：
• 加 --format=json 输出结构化数据，方便脚本处理
• 加 --direct 只看 require 和 require-dev 里直写的包，不递归依赖树（否则几百行根本没法读）
• 加 --locked 直接对比 composer.lock 里的版本，不查远程仓库（快、稳、离线可用）
• 如果只想知道“有没有过时包”用于判断 CI 是否失败，用 composer outdated --exit-code：有更新返回 1，没更新返回 0
真正麻烦的是那些被间接依赖拖住的包——比如 A 依赖 B v1，B v2 已支持 PHP 8.3，但 A 还没发新版，你就卡在 B v1。这种得看 composer depends foo/bar 倒查谁在拦路，outdated 自己不解决依赖链卡点。
