PHP composer 如何更新依赖

每天写代码时，我们总免不了和各种“工具零件”打交道——就像你组装家具时，不会自己生产螺丝钉、合页，而是用现成的标准配件。做PHP开发时，Composer就是帮你管理这些“工具零件”的管家，它能帮你自动安装、更新那些别人写好的代码库（也就是常说的“依赖”）。很多新手刚接触时，最犯愁的就是“怎么更新这些依赖”，今天就用生活化的例子，把这事说透。

先搞懂：依赖更新到底在更什么？

假设你要做一个“在线点餐小程序”，肯定不想自己写“验证手机号格式”的代码，这时候可以找一个现成的工具，比如一款叫mobile-validator的代码库。你用Composer把它装到项目里，这时候mobile-validator就是你的依赖。

过了几个月，这个工具的作者修了手机号验证的小bug，还新增了“支持港澳台手机号”的功能——这时候你就需要把旧版本的mobile-validator换成新的，这个过程就是“更新依赖”。简单说，就是让你的项目用上更靠谱、更完善的现成代码。

第一步：先确认当前依赖的状态

更新依赖前，得先知道自己手里有哪些依赖，以及它们的当前版本，不然更新错了可能出问题。这一步其实不用记复杂命令，打开电脑的命令行（Windows是CMD或PowerShell，Mac是终端），进入你的项目文件夹——比如你项目放在桌面的order-app文件夹里，就输入cd Desktop/order-app，回车后就到项目里了。

然后输入命令composer show -l，这会列出你所有已经安装的依赖，还会标清楚每个的当前版本号。比如你会看到mobile-validator那行显示的是1.2.0，这就是你现在用的版本。

第二步：两种常用的更新方式，按需选

知道了当前版本，接下来就是更新，这里分两种情况，对应不同的需求。

情况1：只更新指定的某一个依赖（最常用）

如果你只需要更新刚才说的mobile-validator，不用动其他依赖，那命令超简单：composer update 依赖名。就拿例子来说，输入composer update mobile-validator，回车就完事。

这个命令的好处是“精准”，不会碰别的依赖，适合你明确知道某个依赖有更新需求，又不想影响其他工具的情况。比如你刚发现某款支付插件有安全漏洞，就只用这个命令更新它就行。

情况2：更新所有依赖（项目大版本迭代时用）

如果你的项目要做全面升级，比如从PHP7.4升级到PHP8.2，这时候很多依赖都需要适配新的PHP版本，就需要把所有依赖一起更新。输入composer update，不加任何依赖名，Composer就会把你项目里所有的依赖都检查一遍，把能升级到的最新兼容版本都更新好。

这里要注意：更新前最好先把项目备份一下，或者在Git里提交当前的代码状态——万一某个依赖的新版本有隐藏bug，还能回退到旧版本，不会让项目直接垮掉。

第三步：更新后，别忘了确认生效

很多新手更新完就以为完事了，其实还有个小步骤要做。更新依赖后，Composer会生成一个叫vendor的文件夹，里面存着所有依赖的代码，但有时候PHP的自动加载机制不会直接识别更新后的代码，这时候只需要再执行一次composer dump-autoload，就能让项目马上用上新的依赖代码，不用重启服务器。

最后：新手最容易踩的小坑

很多人第一次用更新命令，可能会遇到“版本不对”的问题——比如你本来想更到最新版，结果只升到了1.2.1，这是因为你项目里有个叫composer.json的文件，里面写了依赖的版本范围。比如如果composer.json里写的是"mobile-validator": "^1.2.0"，那Composer只会更新到1.x.x系列的最新版，不会到2.0这种大版本（大版本一般会改功能，可能不兼容，所以默认不更）。

如果确实要更到大版本，比如mobile-validator出了2.0，你想试试，那得手动修改composer.json里的版本号，改成"mobile-validator": "^2.0"，再运行更新命令就行，不过一定要先测项目，避免不兼容。