使用 composer update vendor/package --with-dependencies 可更新指定包及其子依赖，但需确保版本约束允许；如需升级嵌套依赖，应检查并调整根项目或包的版本限制，必要时通过 composer update 全局更新，结合 composer depends 和 reverse-depends 分析依赖关系以确保兼容性。
当你使用 composer update 更新某个包时，默认情况下 Composer 只会更新你指定的包及其依赖中**已经安装但版本允许变动的部分**，但不会主动升级该包的子依赖（即嵌套依赖），除非这些子依赖也满足版本约束且能通过依赖解析。
如果你希望在更新一个包时，连带更新它的子依赖到最新兼容版本，可以使用以下方法：
1. 使用 --with-dependencies 选项
这是最常用也是最推荐的方式。运行：
composer update vendor/package --with-dependencies
这会更新指定的包，并且同时更新这个包所依赖的所有子依赖包（只要 composer.json 中的版本约束允许）。
注意：它不会更新与当前包无关的其他依赖，只影响该包及其依赖树中的包。
2. 强制更新子依赖到最新版（必要时放宽约束）
如果你想让子依赖也尽可能升级到最新版本，可能需要先检查版本约束是否太严格。你可以：
- 查看目标包的
composer.json中对子依赖的版本要求 - 确认你的根项目
composer.json是否锁定了某些子依赖的旧版本 - 如有必要，手动调整版本约束，再执行 update
例如，如果子依赖 symfony/event-dispatcher 被锁定在 v5，而你想升级到 v6，需确保：
- 主包支持 v6
- 你的项目 composer.json 没有显式限制为 v5
3. 更新整个依赖树（谨慎操作）
如果你想彻底刷新所有依赖（包括间接依赖），可以直接运行：
composer update
这会根据当前 composer.json 的版本约束，把所有包（包括子依赖）更新到最新兼容版本。相当于全局更新。
4. 查看依赖关系图辅助决策
使用以下命令查看某个包依赖了哪些子包：
composer depends vendor/package
或查看反向依赖（谁引用了某个子依赖）：
composer reverse-depends package/name
这有助于判断更新子依赖是否安全。
基本上就这些。重点是用好 --with-dependencies，并理解版本约束对子依赖更新的影响。Composer 的设计是保守的，不会随意突破版本锁定，所以有时需要手动干预版本号才能实现“连带更新”。
