Composer如何只升级次要版本：实践指南
先明确一个核心判断：在依赖管理这件事上，精确控制升级范围往往比“一键更新”更重要。下面我们就来拆解，如何精准地让Composer只升级次要版本。
composer update 默认升级哪些版本
很多开发者可能没细想过，composer update 的默认行为其实有个明确的边界。它严格遵循 composer.json 里设定的版本约束——比如 "^2.3.0" 或 "~2.3.0"——然后在这个范围内，尽可能安装最新的兼容版本。
这意味着什么呢？它允许升级次要版本和修订版本，但绝不会跨过主版本这条红线。举个例子，约束是 "^2.3.0"，那么从 2.3.0 升到 2.9.5 是完全可能的，但想升到 3.0.0？门儿都没有。
不过，这里有个容易混淆的点：Composer 本身并不区分你是只想升次要版本，还是只想升修订版。只要新版本符合约束条件，它就会一股脑儿更新过去。假设你的 composer.lock 里锁着 2.3.0，而仓库里最新版本已经是 2.8.1，那么执行 composer update 后，你会直接跳到 2.8.1，而不是按部就班地先升 2.4.0。
如何强制只升级次要版本（不升修订版）
那么问题来了，Composer 没有提供类似 --only-minor 这样的现成开关，我们该怎么实现“只升次要版本”这个目标呢？
答案是：通过组合版本约束与锁定策略来达到目的。核心思路很清晰，就是要把所有依赖的版本，明确锁定在“次版本号”这个层级上，同时阻止修订版本的自动漂移。
具体操作分三步走：
- 第一步，修改约束：把
composer.json里类似"^2.3.0"的约束，改成"2.3.*"。这个星号很关键，它表示允许2.3.0到2.3.999之间的任何版本，但绝不会允许升级到2.4.0。 - 第二步，刷新锁定：运行
composer update --with-all-dependencies（或者针对特定包名执行）。这一步是为了让新的约束规则在composer.lock文件里正式生效。 - 第三步，后续升级：完成上面两步后，以后再执行
composer update vendor/package，它就只会在2.3.x这个狭窄的范围内寻找最新版了。比如，从2.3.1升级到2.3.7。
需要警惕的是，"2.3.*" 在语义化版本中的含义是 >=2.3.0 <2.4.0，它实际上比 ~2.3.0（等价于 >=2.3.0 <2.4.0）表达得更直接、意图更明确。
为什么不用 ~2.3.0 实现“只升 minor”
你可能会想，波浪号 ~ 不是用来锁定次要版本的吗？用 ~2.3.0 不就行了？
这里有个常见的理解偏差。~2.3.0 的真实含义是：“允许升级到下一个次版本之前的任意修订版”。换句话说，它确实能把版本限制在 2.3.x 系列里。
但它的控制粒度不够精细。举个例子：如果你当前安装的就是 2.3.0，而仓库里已经发布了 2.4.0，那么 ~2.3.0 会阻止你升级到 2.4.0，这没问题。可一旦你手动安装过 2.3.5，下次执行 update 时，它就可能直接给你升到 2.3.9。这本质上还是一次修订版本（patch）的升级，并非我们想要的、对“仅升级次要版本”这个行为的主动控制。
所以说，想真正实现“只升 minor”，本质上是想把“修订版升级”这个操作从自动流程里剥离出来，交给人工决策。更稳妥的工程实践应该是这样：
- 开发阶段：使用
"2.3.*"严格锁定次版本。 - 升级阶段：当需要升级次要版本时，手动将
"2.3.*"改为"2.4.*"，然后再执行composer update。 - 流程管控：在 CI/CD 流水线中，禁止无约束的全局
composer update，所有版本变更都必须通过显式修改约束文件，并经过代码审核（PR）才能进行。
常见误操作与报错提示
在实际操作中，难免会踩一些坑。下面这几个典型错误，最好提前了解一下：
1. 使用不存在的参数：直接运行 composer update --minor-only 会立刻报错：Command "minor-only" is not defined.。很简单，因为这个参数根本就是臆想出来的，Composer 不支持。
2. 约束写法不严谨：比如写成 "^2.3"（缺少了末尾的 .0），Composer 会自动将其补全解析为 "^2.3.0"，这仍然可能导致升级到 2.9.x，失去了精确控制的意义。而如果写成 "2.3"（没有任何符号），它会被当作一个精确的版本号，导致 composer update 完全不起作用。
3. 忽略子依赖的“野马”：这是最容易被忽略的一点。你主项目 composer.json 里的约束，管不住那些被间接引入的子依赖（transitive dependencies）。即使你明确写了 "monolog/monolog": "2.3.*"，但如果你的某个上游依赖包声明了 "monolog/monolog": "^3.0"，那么 3.x 版本的 Monolog 仍然可能被安装进来。遇到这种情况，可以先用 composer prohibits monolog/monolog 命令查看完整的依赖链，然后考虑在 composer.json 中使用 replace 或 conflict 字段来进行干预。
