正确写法是 composer update vendor/package-name，必须包含 vendor 名；漏掉 vendor 会报错，require --update-with-dependencies 会重算整个依赖图，非最小化更新。
composer update 只更新一个包的正确写法
直接运行 composer update vendor/package-name 就行，不需要加 --with-dependencies 或其他开关——这是最常用也最容易写错的方式。
常见错误是写成 composer update package-name（漏掉 vendor 名），结果报错 Package "package-name" not found；或者误用 composer require vendor/package-name --update-with-dependencies，这其实会安装新包并顺带升级依赖，不是“只更新已有包”。
- 必须写全名：
composer update monolog/monolog，不能只写monolog - 如果包名含斜杠但不确定 vendor 名，先查
composer show列出已安装包 - 执行后 Composer 默认只升级该包及其满足版本约束的子依赖（不升级其他顶层包）
为什么有时候 update 单个包却升级了别的包？
因为目标包的新版本可能要求更高版本的依赖项，而这些依赖恰好也是你 composer.json 里的顶层依赖（比如 symfony/console 同时被 A 包和你项目直连引用）。Composer 会一并满足其版本要求。
这不是 bug，是语义化版本 + 依赖求解的必然结果。想避免？只有两个办法：
- 确认该包更新是否真有必要——有时
composer upgrade vendor/package-name:^3.2比update更可控 - 临时锁定干扰项：
composer update vendor/package-name --with-all-dependencies看清影响范围，再手动删掉不想动的包名 - 检查
composer.json中该包的版本约束是否太宽（如"^2.0"），收紧可减少意外升级
composer require --update-with-dependencies 不等于 update 单个包
composer require vendor/package-name --update-with-dependencies 的真实行为是：如果包已存在，就升级它和它的所有依赖（包括间接依赖）；如果不存在，就安装它。它不区分“是否已安装”，也不尊重你原本的依赖树结构。
这跟 composer update vendor/package-name 的语义完全不同：
-
update：基于当前composer.lock和composer.json约束，最小化变更地升级指定包 -
require --update-with-dependencies：强制重算整个依赖图，容易带入一堆非预期升级 - 真正想“只升一个、不动别的”，别碰
require带--update的组合
更新后 composer.lock 被改了，怎么确认只动了那个包？
改完立刻执行 git diff composer.lock，重点看三处：
-
packages下对应vendor/package-name的version和source是否变化 -
packages-dev（如有）是否也被波及 -
dependencies里该包的requires字段有没有新增或变更项——如果有，说明它的新版本引入了新依赖
如果发现其他包的 version 也变了，大概率是它们被该包的新版本间接要求升级，不是你操作错了，而是约束链本身在起作用。
复杂点在于：Composer 的依赖解析器不会告诉你“因为 A 升级导致 B 被拉高”，只给结果。所以每次单包更新后，盯一眼 lock 文件 diff 是最实在的验证方式。
