常见原因有四：包名错误或未启用非稳定版支持；sodium扩展未启用却调用原生函数；composer插件未授权；openssl算法兼容性问题——需逐层排查。
composer install 加密相关包时提示 “could not find package”
常见原因是包名拼写错误，或未启用 Packagist 的非稳定版本支持。很多加密类库（比如 defuse/php-encryption、paragonie/sodium_compat）默认只发布 stable 版本，但某些新功能在 dev-main 或 beta 分支里——而 composer install 默认不拉取这些。
- 先确认包名是否准确：查官方文档或 Packagist 页面，比如
defuse/php-encryption不是defuse/encryption - 若需安装预发布版，加
--minimum-stability=dev --prefer-stable参数：composer require defuse/php-encryption:^v2.4 --minimum-stability=dev
- 检查
composer.json里是否有"minimum-stability": "stable"锁死，有就删掉或临时注释 - 运行前确保已执行
composer clear-cache，避免旧缓存干扰
require paragonie/sodium_compat 后 php -v 报 extension 'sodium' not found
这是典型混淆了扩展与兼容层：sodium 是 PHP 7.2+ 内置扩展，paragonie/sodium_compat 是纯 PHP 实现，用来在没装原生 sodium 扩展的环境（如旧版 PHP）里模拟它。报错说明你机器上其实没启用 sodium 扩展，但代码里又直接调用了 sodium_crypto_secretbox() 这类函数——它优先走扩展，找不到才 fallback 到 compat。
- 先运行
php -m | grep sodium看扩展是否加载；没输出就说明没启用 - Linux 下通常要
sudo apt install php-sodium（Debian/Ubuntu）或启用extension=sodium.so（macOS/源码编译） - 如果实在不能装扩展，必须用 compat 层，那就别直接调原生函数，改用
Sodium\crypto_secretbox()（注意命名空间） -
sodium_compat会自动注册函数别名，但前提是没加载原生扩展——两者共存反而可能出符号冲突
composer config allow-plugins true 被反复要求，但不知道该信谁
这是 Composer 2.2+ 引入的安全机制：插件（尤其是加密类插件，如 roave/security-advisories 或某些私有仓库认证插件）必须显式授权才能运行。不是 bug，是防止恶意包静默执行代码。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 看到
Plugin installation is disabled. Enable it via composer config allow-plugins true，就按提示执行：composer config --global allow-plugins true
- 如果只想允许特定插件，更安全的做法是白名单：
composer config --global allow-plugins.roave/security-advisories true
- 注意
--global是全局配置；项目级配置去掉该参数，但每次composer install都得确认——不推荐 - 某些 CI 环境（如 GitHub Actions）需在脚本里提前设好，否则卡住
vendor/autoload.php 引入后 openssl_encrypt 报 “Unknown cipher”
这和 Composer 无关，是 OpenSSL 自身的兼容性坑：不同 PHP 版本、不同 OpenSSL 库版本支持的加密算法名不一致。比如 openssl_encrypt($data, 'AES-256-GCM', $key, 0, $iv, $tag) 在 PHP 7.1 支持，但在 7.0 或某些 Alpine 容器里会失败，因为底层 OpenSSL 版本太老。
- 先查当前支持的算法：
print_r(openssl_get_cipher_methods());
看输出里有没有AES-256-GCM - 生产环境尽量用
defuse/php-encryption这类封装好的库，它内部做了算法降级和填充处理 - 不要硬编码
'AES-128-CBC'这种短名，用全称'AES-128-CBC'（注意大小写），OpenSSL 对大小写敏感 - Docker 用户注意基础镜像：
php:8.2-cli比php:8.2-cli-alpine更大概率带全 OpenSSL 功能
加密不是加个 require 就完事的事——算法支持、扩展启用、Composer 插件策略、底层 OpenSSL 版本，四层都得对得上。最容易被忽略的是开发机和线上环境 OpenSSL 版本不一致，本地跑通，上线就报 cipher not found。
