“no matching package found”说明Composer未查到包名，非版本问题；应检查包名拼写、大小写、斜杠方向是否与Packagist完全一致，确认私有源已配置、缓存已清理，并用composer show -a或Packagist网页验证包是否存在。
Composer 本身不校验已安装包的元数据完整性，composer show 查不到包，不等于它没装上——更可能是元数据缺失、缓存错位或源配置断裂。关键得先分清：是“根本没装”，还是“装了但查不到”。
composer show vendor/package 报 “no matching package found” 怎么办
这不是版本问题，是 Composer 连包名都没在当前源里匹配到。常见于拼写、大小写、斜杠方向与 Packagist 页面不一致（比如 laravel/sanctum 写成 laravel-sanctum 或 Laravel/Sanctum）。
- 运行
composer config repositories确认私有源已声明；Git 类型私有包必须显式设"type": "vcs"，光写 URL 不生效 - 执行
composer clear-cache后重试——本地缓存可能卡在旧索引 - 用
composer show -a vendor/package或直接访问 https://www.php.cn/link/f69b857233949c6a79158d4bb7ab5061 验证包是否存在、是否公开 - 刚提交到 Packagist 的包有最多 60 秒延迟，稍等再试
composer show -s vendor/package 显示信息不全或字段为空
-s（--summary）依赖的是 vendor/composer/installed.json 中的元数据快照。若字段缺失（如 autoload、require 为空），说明该包安装时未正确读取其 composer.json，或被强制跳过元数据解析。
- 检查是否用了
--no-scripts或--no-plugins：某些插件（如composer/installers）参与元数据写入，禁用后可能导致installed.json不完整 - 确认包不是通过
"type": "package"手动定义的——这类包的元数据由你手写，若漏掉autoload字段，show -s就不会显示 - 运行
composer dump-autoload --optimize后再试：dump-autoload不影响元数据，但能触发部分插件重新扫描，间接修复异常状态 - 对比
vendor/package/composer.json和vendor/composer/installed.json中对应条目：若前者有autoload而后者没有，说明安装流程中断或插件兼容性出问题
为什么 composer install 成功，但 composer show 却找不到刚 require 的包
composer install 只按 composer.lock 恢复文件，不校验元数据来源；而 composer show 必须实时拉取远程 composer.json 或读取本地 installed.json。一旦元数据链路断开，就会“看不见”。
- 包被
require-dev声明，但你运行了composer install --no-dev：此时包不进vendor/，installed.json里自然没记录 - 私有 Git 包未打 tag 且没配
branch-alias：即使composer require vendor/package:dev-main装上了，show也因无法识别dev-main为合法版本而忽略 -
vendor/composer/installed.json被意外删改或权限错误：Composer 读不到它，就退化为只查远程源，而私有源若不可达或认证失效，show就报错 - 运行
composer show --installed看是否在本地列表里：如果在，说明元数据写入成功；不在，则问题出在安装阶段而非查询阶段
如何验证 installed.json 和 lock 文件元数据是否一致
两者应保持同步：lock 记录“计划装什么”，installed.json 记录“实际装了什么”。不一致意味着安装过程被干扰（如手动删文件、CI 中断、权限不足）。
- 用
composer show --locked --format=json提取 lock 中所有包的name、version、dist.sha256 - 用
composer show --installed --format=json提取 installed.json 中对应字段，注意字段名可能是dist-sha256或shasum - 写个简单脚本逐 key 比对：若某包在 lock 里有
dist.sha256，但在 installed.json 里缺失或值不同，说明该包元数据损坏或安装不完整 - 特别注意
source-reference字段：若项目用了--prefer-source，installed.json 里存的是 commit hash，和 lock 中的dist块无关，此时比对要切换逻辑
元数据校验最易被忽略的一点：它高度依赖 vendor/composer/installed.json 的完整性和可读性。这个文件一旦被破坏（比如 CI 中 chown -R www-data:www-data vendor/ 导致权限锁死），所有基于它的命令（show、outdated、depends）都会失准——但 Composer 不会主动报错，只会静默降级。
