这是 GitHub 仓库中被锁死的 tag（如 v2.1.0）已被删除导致 404，需先用 curl 或浏览器验证，再通过 repositories 配置 type: "package" 硬注入 ZIP 源，最后用 composer update vendor/package-name --with-dependencies 重解析。
直接结论：这不是网络问题，也不是镜像源配置错误，而是你项目锁死的某个 tag（比如 v2.1.0）在 GitHub 仓库里真被删了——composer install 尝试去下载 https://api.github.com/repos/vendor/package/zipball/v2.1.0，结果返回 HTTP 404，流程就卡住。
怎么确认确实是 tag 被删了
别急着改 composer.json 或换镜像。先验证是否真实 404：
- 运行
curl -I https://api.github.com/repos/vendor/package-name/zipball/v2.1.0，看响应头是不是HTTP/2 404 - 手动打开浏览器访问该 URL，或去对应 GitHub 仓库的
Releases页面，确认v2.1.0是否已从列表消失 - 注意：有些作者只删了 tag，但保留了分支（如
stable-2.1），或者留下了可用的 commit hash（如abc1234）
不升级版本的前提下怎么绕过 404
很多项目依赖特定 tag 的语义行为（比如 Laravel 插件严格绑定某版核心），盲目升到 ^2.2 可能导致运行时崩溃。这时可走“硬注入”路线：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
composer.json根对象顶部加"repositories"数组，且必须放在"require"前面（优先级更高） - 写一个
"type": "package"条目，完整指定包名、版本（含v前缀）、ZIP 直链地址：{"type": "package", "package": {"name": "vendor/package-name", "version": "v2.1.0", "dist": {"url": "https://your-domain.com/archives/package-v2.1.0.zip", "type": "zip"}}} -
url必须返回 HTTP 200，解压后根目录要有有效composer.json；version字段必须和require中写的完全一致（比如不能写成2.1.0而漏掉v）
执行重拉命令时容易踩的坑
composer install 不会识别新加入的 repositories 配置——它只认 composer.lock 里已记录的源。必须触发重解析：
- 用
composer update vendor/package-name --with-dependencies，不是install - 不能写成
composer update "vendor/package-name:^2.1"，引号 + 波浪号会让 Composer 去找兼容最新版，而不是你硬指定的那个v2.1.0 - 如果该包有子依赖也被锁死了旧版本，
--with-dependencies是关键，否则会报 “无法满足要求” - 执行后立刻检查
git diff composer.lock，确认只有目标包及其直系依赖被更新，其他包版本未漂移
最麻烦的情况是：连 fork 和备份 ZIP 都没有，原仓库只剩一个可用 commit，但又不敢用 #abc1234 替代 tag——因为那个 commit 可能没跑过完整 CI，composer.json 缺字段或 autoload 错误。这时候得先本地验证 ZIP 内容再上传，否则后续所有构建都会失败。
