Composer默认只查Packagist的stable版本，dev-main需显式启用dev稳定性策略、配置vcs仓库源、严格匹配分支名大小写及斜杠格式，并用dev-main#hash锁定提交才能成功安装。
composer require vendor/name:dev-main 为什么报 “Could not find package”
不是拼错了，是 Composer 默认只查 Packagist 上已注册的 stable 版本。哪怕 GitHub 仓库真实存在 main 分支，只要没在 Packagist 公开注册，或你用的是私有地址，Composer 就直接放弃查找。
-
dev-main不是“语法糖”，它本质是开发版版本约束，必须被解析为可访问的 Git 源 - 检查分支是否存在：手动打开
https://github.com/vendor/name/tree/main确认 URL 可访问且分支名大小写完全一致（dev-Main≠dev-main） - 确认包是否在 Packagist 注册：访问
https://packagist.org/packages/vendor/name，若 404，则必须手动加repositories
私有仓库或 fork 必须显式配置 repositories
光写 composer require vendor/name:dev-main 没用。Composer 不知道去哪找这个包，必须明确告诉它：“这是一个 Git 仓库，地址在这里”。
-
type必须是vcs（不是package或path），否则分支解析完全失效 -
url必须带.git后缀：https://github.com/vendor/name.git，缺后缀会导致克隆失败 - 私有仓库需认证：HTTPS 地址建议用 token：
https://<font color="#FF0000">token</font>:x-oauth-basic@github.com/vendor/name.git；SSH 地址需确保ssh -T git@github.com成功 - 配置位置：必须写在项目根
composer.json的顶层repositories数组里，不能嵌套在require或其他字段下
分支名含斜杠时怎么写
像 feature/login 这种分支，不能写成 dev-feature-login 或 dev/feature/login，Composer 原生支持斜杠，但必须严格匹配远端命名。
- 正确写法：
"vendor/name": "dev-feature/login"（JSON 中需用双引号包裹整个字符串） - 命令行执行：
composer require vendor/name:dev-feature/login - 不要 URL 编码：
dev-feature%2Flogin是旧版兼容写法，2026 年起已不必要，反而可能出错 - 分支名区分大小写：
dev-Feature/Login和dev-feature/login是两个不同约束
怎么确保拉到的是你要的那个 commit
dev-main 是浮动的 —— 它代表“当前分支 HEAD”，不是固定点。force push、新提交都会让它指向不同 commit。
- 锁定具体提交：改写为
"vendor/name": "dev-main#abc1234"（哈希至少 7 位小写），再运行composer update vendor/name - 验证是否生效：检查
composer.lock中该包的source.reference字段，值应为 40 位或 7+ 位小写哈希，不是main或HEAD - 强制走 Git 克隆（而非 zip 包）：加
--prefer-source参数，否则某些场景下#hash可能被忽略 - 避免缓存干扰：首次安装建议加
--no-cache，或先执行composer clear-cache
composer.lock 里记录的 source.reference 如果还是分支名而不是哈希，说明没真正锁定——那下次 composer install 仍可能拉到别人刚 push 的新代码。 
