答案是CI/CD中“Could not find a matching version”主因是repositories残留本地path配置，而CI机器不存在对应路径，Composer不fallback至Packagist且严格按声明仓库查找。
本地path仓库不能直接进生产环境，必须在部署前剥离；否则composer install必然失败。
为什么composer install在CI/CD里报“Could not find a matching version of package”
这不是包没上传、也不是网络问题，而是repositories里还留着"type": "path"配置，而CI机器根本不存在那个本地路径（比如../packages/my-lib）。Composer不会自动 fallback 到 Packagist，它只认声明的仓库，找不到就硬报错。
- 常见错误写法：
"url": "../packages/*"—— 通配符在CI中完全无效，且每个子目录仍需独立composer.json - 误以为
composer install --no-dev能绕过 —— 不行，repositories是全局配置，跟require-dev无关 - 用
git checkout切换分支后忘记清理repositories字段 —— 历史提交里带了path配置，CI拉下来就炸
如何安全地让path仓库只生效于本地开发
靠手动删改composer.json不是办法，容易误提交。推荐两种可落地的方式：
- 用
studio工具管理：全局安装composer global require franzl/studio，然后在项目根目录运行studio add ../packages/my-lib。它会把path映射写进$HOME/.config/composer/config.json，不污染项目文件 - 用环境变量+脚本动态生成：CI流程中执行
sed -i '/"type": "path"/,+2d' composer.json（Linux/macOS）或用PowerShell替换，确保上线前repositories只剩packagist.org - 禁止
repositories进版本控制：把composer.json里的repositories段落拆到composer.local.json，再用COMPOSER=composer.local.json composer install加载 —— 但注意composer.lock仍会记录path来源，所以composer.lock也得按环境区分
vendor/vendor/name是符号链接，但Windows和CI默认不支持
你看到的vendor下那个目录，大概率是个symlink，不是复制的文件。这带来三个现实约束：
立即学习“PHP免费学习笔记（深入）”；
- Linux/macOS：默认可用，
ls -la vendor/vendor/name能看到->指向 - Windows：需开启开发者模式，或以管理员身份运行
composer install，否则静默退化为复制（但性能差、无法热更新） - CI/CD：Docker容器或无权创建symlink的runner（如某些GitLab Shared Runner）会直接失败，报
failed to create symbolic link - 想强制复制？加配置：
"preferred-install": {"vendor/name": "dist"}，但这就失去“改代码立刻生效”的意义了
改了本地包代码，为什么composer install不生效
composer install只检查composer.lock里记录的解析结果是否已存在，它不重新解析repositories。也就是说：
- 你改了
../my-lib/src/Helper.php，composer install什么也不做 - 必须运行
composer update vendor/name，才会重新读取本地composer.json、校验name、重建symlink -
composer update不带参数很危险：可能顺手升级其他包，破坏composer.lock稳定性 - 本地调试时建议 alias：
alias cup='composer update --with-dependencies'，聚焦当前链路
最易被忽略的一点：composer.lock一旦记录了path来源，它就彻底绑定了那个本地路径。哪怕你后来删掉repositories，只要lock文件没重生成，composer install仍会尝试去那个不存在的路径找包 —— 所以生产构建的第一步永远是rm composer.lock && composer install --no-dev，而不是复用开发机的lock文件。
