用途：面向 PHP 项目，提供 Composer 依赖的更新与维护流程，把依赖更新当作维护而非功能开发，建议定期小批量进行。
主要能力：给出可执行的操作原则与命令。核心环节为审计、更新、验证、提交。强调先查变更日志（大版本更新必须先获取 CHANGELOG 或 UPGRADE 文档），安全优先（更新前后运行 composer audit），一次只更新一个包或一组逻辑相关包，始终提交 composer.lock，合并前通过完整测试与静态分析，默认使用 ^ 约束。
按风险分类的策略：仅补丁用 composer update --patch-only；次要版本用 composer update --minor-only；大版本用 composer update vendor/package --with-all-dependencies，逐个计划进行；安全修复立即执行 composer audit 后做定向更新。
常用命令包括 composer outdated --direct / --major-only / --minor-only、composer audit（带 --format=json 可用于 CI，发现漏洞返回非零退出码）、composer why 与 composer why-not、composer bump、composer validate --strict。可配合 roave/security-advisories（须固定 dev-latest）做预防性拦截。
版本约束与锁定：介绍 ^、~、精确与通配符的区间含义及适用场景，提醒 1.0 前版本 caret 行为不同；应用必须提交 composer.lock，CI 与生产用 composer install，仅有意更新时用 composer update，不可手工编辑 lock 文件。生产安装命令为 composer install --no-dev --optimize-autoloader --no-interaction。
废弃包：关注 Composer 警告、寻找 Packagist 替代、用 composer why 理解依赖关系、以接口/适配器隔离风险依赖，并用 composer-unused 找出未使用包。
适用场景：PHP 应用的依赖升级、安全审计与 CI 集成、大版本迁移规划。限制：具体命令与版本细节需以实际项目环境和官方变更日志为准；资料未提供价格、收费、平台支持或效果保证等信息。