答案是dev分支与稳定版语义不同：dev-无版本号、不参与SemVer比较，无法被^/~匹配，强行共存导致无解而报错；应禁用dev-、改用as别名或等正式发布。
开发包（dev-master、dev-develop 或带 @dev 的版本）和线上稳定版（如 ^3.2、4.0.1）混用，是 Composer 依赖冲突最典型的诱因之一——不是版本号写错了，而是语义根本不同：开发分支随时变，稳定版受 SemVer 约束。强行共存，composer update 会直接报错退出。
为什么 dev- 分支和稳定版不能共存
Composer 把 dev- 当作“无版本号”的特殊存在，它不参与 SemVer 比较，也不被 ^ 或 ~ 范围匹配。一旦你项目里同时有：
-
"monolog/monolog": "dev-main"（开发分支） -
"symfony/console": "^6.4"（稳定版，但其自身composer.json声明"monolog/monolog": "^3.0"）
Composer 就会卡住：它无法把 dev-main 当作 ^3.0 的候选，又不能降级 symfony/console（因为没更老的兼容版），最终抛出 Your requirements could not be resolved。
composer why-not 定位谁在拉开发包
别猜，直接问 Composer 谁在引入开发版本：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer why-not monolog/monolog ^3.5（换成你想装的稳定版） - 输出会明确列出：哪个包、哪一行
composer.json、以什么约束方式锁死了dev-main - 常见来源：
require-dev里的调试工具（如phpunit/phpunit的dev-main分支）、私有包仓库配置错误、CI 脚本误传--prefer-source
线上环境必须禁用 dev- 分支
生产部署时，dev- 分支不仅引发冲突，更带来不可控风险：代码未打 tag、CI 未跑全量测试、autoload 映射可能失效。安全做法是：
- 部署前执行
composer install --no-dev --prefer-dist，强制跳过所有require-dev和源码模式 - 检查
composer.lock文件：搜索"reference"字段，确认没有"dev-"开头的 commit hash；若有，说明上次update是从源码拉的，得重做 - CI 流水线中加校验：用
grep -q '"type":"package"' composer.lock || exit 1防止私有包配置污染
开发阶段想用新特性？改用 alias 而非 dev-
如果真需要某个尚未发版的功能（比如 Laravel 11 的新中间件 API），正确姿势不是 "laravel/framework": "dev-main"，而是：
- 在
composer.json中写"laravel/framework": "11.x-dev as 11.0.0" - 这个
as语法让 Composer 把开发分支“伪装”成一个稳定版号，能参与 SemVer 解析，也能被其他包的^11.0正常引用 - 注意：仅限你自己可控的分支；对第三方
dev-，优先提 PR 或等正式发布，硬上alias可能绕过其内部版本约束
真正难处理的从来不是“怎么装”，而是“谁悄悄把 dev- 写进了 lock 文件”。每次 composer update 后，多看一眼 composer.lock 里新增的 "source" 块——那里藏着所有未声明的隐性依赖。
