Composer require只认Packagist包名与语义化版本（如guzzlehttp/guzzle:^7.8），不支持URL或路径；禁用dev-前缀开发版；require-dev包仅开发时安装；^与~版本约束行为不同，生产建议用~或固定版本。
require 里写包名和版本号，不是写路径或 URL
很多人第一次用 composer require 时，下意识把 GitHub 地址、本地路径甚至 Git 分支名直接塞进命令里，结果报错：Could not find package xxx at version yyy。Composer 的 require 字段只认 Packagist 上注册的标准包名（如 monolog/monolog）和语义化版本约束（如 ^2.10），不接受任意 URL 或文件系统路径。
- 正确写法：
composer require guzzlehttp/guzzle:^7.8 - 错误写法：
composer require https://github.com/guzzle/guzzle或composer require ./my-local-package - 如果真要引入本地开发中的包，得先在
composer.json里加repositories配置，再 require 包名 —— 直接写路径会跳过依赖解析，后续 autoload 和更新都会出问题
dev-main 和 1.x-dev 这类“开发版”别乱用
看到包文档里写着“支持 Laravel 10”，但你 require 时用了 some/package:dev-main，结果项目跑不起来，还查不出原因。这类开发分支版本没有稳定约束，随时可能破坏接口、删函数、改命名空间 —— Composer 不会校验兼容性，它只管装。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 除非你在参与该包开发，否则避免用
dev-开头的版本 -
dev-main不等于 “最新稳定版”，它大概率是未测试的快照；1.x-dev可能对应某个长期维护分支，但也可能早已废弃 - 优先查 Packagist 页面上的
Latest stable版本号，用^x.y或~x.y.z锁定范围
require-dev 和 require 的区别不是“要不要装”，而是“什么时候装”
执行 composer install 时，默认会装 require 和 require-dev 下的所有包；但线上部署常加 --no-dev 参数，这时 require-dev 里的包一个都不会进生产环境。如果你把 PHPUnit 或 PHPStan 写在 require 里，它们就会被部署到服务器上 —— 白占磁盘、增加攻击面、还可能因扩展缺失导致启动失败。
- 运行时必需的库（如
symfony/http-foundation）必须放require - 仅用于开发、测试、生成文档的工具（如
phpunit/phpunit、laravel/pint）必须放require-dev - CI 脚本里如果没指定
--no-dev，本地测试通过不代表线上也能过 —— 检查你的部署命令
版本号写法影响自动更新行为，^ 和 ~ 不是随便选的
写 "laravel/framework": "^10.0" 和 "laravel/framework": "~10.0.0" 看似差不多，但升级时行为完全不同：前者允许升到 10.40.0，后者只允许升到 10.0.99。很多团队踩过坑 —— 以为加了 ^ 就安全，结果某次 composer update 升了小版本，触发了框架底层行为变更，接口开始返回空数组而不是抛异常。
-
^10.0≈ 允许升级到10.*.*（即主版本不变，次/修订版任意） -
~10.0.0≈ 允许升级到10.0.*（即主+次版本锁定，只允许修订版变） - 生产项目建议用
~锁死次版本，或直接固定为"10.42.0"，再配合composer outdated主动检查
require-dev 中的包意外进入生产环境，以及 ^ 导致的小版本升级引发的静默行为变化 —— 这两类问题不会立刻报错，但会让排查变得极其耗时。 
