Composer配置私有仓库必须在项目根composer.json的repositories中声明vcs类型源、打合规Git tag（如v1.0.0）、配合minimum-stability与prefer-stable约束，否则dev-main会导致CI不可重现、版本错乱。
私有共用库不能靠“直接 require Git 地址”硬上，必须走 repositories + tag + 稳定性约束三件套，否则 dev-main 会反复失败、CI 构建不可重现、多个服务版本对不齐。
为什么 composer require 私有包总报 Could not find package
根本原因不是代码没传，而是 Composer 根本“看不见”你的包——它默认只查 packagist.org。漏配 repositories 或配错类型，等于没注册源。
-
repositories必须写在项目根目录的composer.json顶层，不能嵌在config或其他字段里 - 类型必须是
"vcs"（不是"git"、"package"，也不留空） -
url填完整克隆地址，例如"https://gitlab.example.com/acme/auth-contract"，结尾不加.git - 如果用 HTTPS，需提前配置
auth.json（权限600），内容格式为：{"http-basic": {"gitlab.example.com": {"username":"oauth2","password":"glpat-xxx"}} - SSH 方式则依赖系统
ssh-agent，确保ssh -T git@gitlab.example.com能通
dev-main 装不上？别乱设 minimum-stability
设 "minimum-stability": "dev" 是最常见但最危险的解法：它会让所有依赖（包括 Guzzle、Monolog）都退到不稳定分支，极易引发兼容性断裂。
- 真正该做的是：打合法 Git tag，比如
v1.0.0、v2.3.1（v1.0或1.0.0不被识别） - 打完必须推送：
git tag -a v1.0.0 -m "release" && git push --tags - 若确需临时用分支，必须加别名：
composer require acme/auth-contract:dev-main as 1.0.x-dev，否则解析失败 - 调试时用
composer show acme/auth-contract --all，看输出是否列出目标版本；没出现=tag 没生效或权限/URL 错了
怎么让所有微服务自动用稳定版，而不是互相拉 dev-main
靠 minimum-stability 单独控制不够——它只设下限，不保上限。必须配合 prefer-stable 才能真正收敛版本。
- 项目级配置示例：
"minimum-stability": "stable", "prefer-stable": true - 效果：即使你写
"^1.0"，Composer 也会跳过v1.0.0-beta1，只选v1.0.0或更高 stable 版 - 若某包只有 beta 版，而你又强制要它，得显式指定：
"acme/http-client": "1.0.0-beta1 as 1.0.0" - Satis 私有仓库默认只索引带 tag 的 commit，未打 tag 的分支不会出现在
packages.json中——这是防止dev-main泛滥的第一道闸
真正难的不是配置，而是团队协作节奏：每个共用库的 name 字段（如 acme/logging）必须统一规范，每个 tag 都得人工校验是否破坏契约，每次 composer update 后都要跑 composer show --tree 看有没有意外引入高危间接依赖。这些没法靠工具自动兜底。
