minimum-stability和prefer-stable仅影响版本解析的默认倾向，不强制阻止不稳定版本安装；显式声明如"dev-main"会覆盖全局策略，真正起效的是require中的具体版本约束。
为什么minimum-stability和prefer-stable不能真正“限制”不稳定依赖
这两个配置项只影响 Composer 解析版本时的默认筛选行为，不构成强制约束。比如设了"minimum-stability": "stable"，但某个包在require里显式写了"dev-main"或"2.0.x-dev"，Composer 依然会装——它优先服从显式声明，而非全局策略。
常见错误现象：CI 流水线偶尔跑出Class not found，查发现vendor/里混进了dev-分支代码；或者composer outdated显示一堆dev-候选，却误以为“没风险”而点了update。
-
minimum-stability是 fallback 值，仅当没有更具体的约束时才生效 -
prefer-stable只是让 Composer 在多个可选版本中“倾向选 stable”，但不拒绝 dev/alpha/beta - 真正起效的是 require 字段里的具体版本字符串，例如
"monolog/monolog": "2.9.0"或"monolog/monolog": "^2.9"
用精确版本或^约束替代dev-引用
如果你当前 require 里写着"acme/utils": "dev-main"，这就是不稳定根源。必须替换成可验证、可复现的标识。
适用场景：私有包还在迭代，但生产环境不能随 Git 分支漂移；或上游包未打正式 tag，你临时用了开发分支。
- 有正式 tag 就用语义化版本：
"acme/utils": "3.2.1"或"acme/utils": "^3.2" - 没 tag 但需固定某次提交，可用 commit hash（仅限 VCS 源）：
"acme/utils": "dev-main#abc1234"—— 注意这仍属 unstable 类型，但至少可重现 - 绝对避免
"dev-main"裸写，它每次composer update都可能拉新 commit，且无法被conflict拦截 - 改完后必须运行
composer update acme/utils --no-interaction，否则composer.lock里仍存旧解析结果
用conflict主动封杀已知不兼容的不稳定版本
conflict不是“预防”，而是“熔断”。当某包的 dev 分支已引发过线上事故（如返回类型变更、方法签名破坏），就该用它切断传播路径。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
性能影响几乎为零：Composer 在依赖解析早期就做冲突检查，匹配即报错，不进入下载或安装阶段。
- 封杀整个不稳定系列：
"conflict": {"guzzlehttp/guzzle": "dev-*"} - 封杀特定危险分支：
"conflict": {"symfony/http-foundation": "dev-master"} - 注意语法：通配符
*只支持dev-*和v*形式，不支持dev/*或main这种裸分支名 -
conflict不回滚已安装的包，只阻止下次install或update时引入——所以要配合composer show guzzlehttp/guzzle确认当前实际版本
CI 中验证 unstable 包是否意外混入
靠人眼检查composer.json或composer.lock不可靠。必须自动化拦截。
容易被忽略的一点：某些私有仓库索引工具（如 Satis）会把所有分支都暴露为可安装版本，即使你没在require里写dev-，composer update仍可能因间接依赖带入。
- CI 构建前加检查命令：
composer show --direct --format=json | jq -r '.[] | select(.version | contains("dev-") or contains("-dev")) | .name' - 或扫描
composer.lock：jq -r '.packages[] | select(.version | contains("dev-")) | .name + "@" + .version' composer.lock - 只要输出非空，就
exit 1，阻断部署 - 不要只查
require字段——间接依赖（.packages-dev或.packages里非 direct 的条目）同样危险
最常踩的坑是以为锁住composer.lock就万事大吉。其实只要 lock 文件里存在dev-版本，哪怕本地能跑通，换一台机器、换一个 Composer 版本（比如从 2.2 升到 2.5），解析逻辑微调就可能导致安装失败或行为偏移。稳定性的边界不在文件里，而在每个 require 字符串是否可验证、可审计、可回滚。
