答案：composer update --dev 并不会只更新开发依赖，而是同时更新 require 和 require-dev 中的包；若要仅更新开发依赖，需手动列出 require-dev 中的包名并附加 --dev 参数执行命令，如 composer update phpunit/phpunit squizlabs/php_codesniffer --dev，以确保仅更新指定的开发工具而不影响生产环境依赖。
在使用 Composer 管理 PHP 项目依赖时，有时你只想更新 开发环境专用的依赖（例如 PHPUnit、PHPStan、CS 规则等），而不影响生产环境所需的主依赖。这时可以通过 --dev 参数实现仅更新 require-dev 中定义的包。
理解 --dev 参数的作用
--dev 是 composer update 命令的一个选项，它的作用是确保开发依赖也被安装或更新，即使你在之前运行了不带 --dev 的 install 或 update。但更重要的是，在特定场景下可以结合其他参数来实现“只更新 dev 依赖”。
默认情况下，composer update 会同时更新 require 和 require-dev 中的包。如果你只想更新开发依赖，可以这样做：
方法：指定更新 require-dev 中的包
Composer 没有直接的 “update only dev” 开关，但你可以通过列出 require-dev 中的所有包并配合 --dev 来达到目的。
- 打开
composer.json，找到require-dev字段下的所有包名 - 在命令行中运行 update，并传入这些包名，再加上
--dev
例如，你的 composer.json 中有：
"require-dev": {
"phpunit/phpunit": "^9.5",
"squizlabs/php_codesniffer": "^3.6"
}
你可以运行：
composer update phpunit/phpunit squizlabs/php_codesniffer --dev
这样 Composer 就只会更新这两个开发工具，而不会触碰 require 中的生产依赖。
注意事项与常见误区
很多人误以为 composer update --dev 会“只更新开发依赖”，但实际上它会更新，只是同时确保 dev 依赖被处理。因此单独使用 --dev 并不能限制更新范围。
真正起“过滤”作用的是
另外，如果你执行： 那么后续的 如果你希望一键更新所有开发依赖，可以借助 shell 命令快速生成包列表： Linux/macOS 用户可使用： 或者更准确的方式是解析 composer.json（需要 jq 工具）： 这条命令会自动提取 require-dev 中的所有包名并传递给 update，避免手动输入遗漏。 基本上就这些。通过合理使用包名过滤和 composer install --no-devupdate 即使加上 --dev 也可能无法恢复 dev 包，需重新运行 install 或确保锁文件未被破坏。实用技巧：快速提取 dev 包并更新
composer update $(composer show --no-dev --direct | awk '{print $1}' | paste -sd " ") --devcomposer update $(jq -r '.["require-dev"] | keys[]' composer.json) --dev--dev 参数，就能精准控制 Composer 只更新开发依赖，不影响线上环境稳定性。
