真正可控的强制安装特定分支靠版本字符串写法和repositories配置；composer install报“package is locked”是因lock文件锁定精确版本，需用composer update更新lock而非install。
直接删 composer.lock 不是解决办法，反而容易引发连锁 break change；真正可控的强制安装特定分支，靠的是版本字符串写法和 repositories 配置。
为什么 composer install 报“Package is locked to version”？
这不是错误，是 Composer 的一致性保护机制：只要 composer.lock 里已记录某个包的精确版本（比如 "monolog/monolog": "2.9.0"），composer install 就只会还原它，哪怕你改了 composer.json 里的约束也不起作用。
- 常见诱因：你手动改了
composer.json中某包的版本（如从"^2.8"改成"^3.0"），但没运行composer update更新 lock 文件 -
--ignore-platform-reqs完全无效——它只跳过 PHP 版本或扩展检查，不干预依赖版本解析 - 执行
composer update vendor/package才是正解，不是install
怎么装 dev-main 这类开发分支？
关键不在参数，而在 composer.json 里怎么写版本号。Composer 要求分支名必须带 dev- 前缀，且大小写、斜杠必须与远程仓库完全一致（例如 GitHub 上是 main，就不能写 dev-master）。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确写法：
"vendor/package": "dev-main"或"dev-main#abcd123"（指定 commit） - 如果该包不在 Packagist 上，必须在
repositories里显式声明 VCS 源：{"type": "vcs", "url": "https://github.com/vendor/package"} - 写完立刻运行
composer update vendor/package，不是install；否则 lock 文件不会更新，下次install还是旧版 - 别用
composer require vendor/package:dev-main --no-update后再update—— 多此一举，且易漏掉--with-all-dependencies导致子依赖不匹配
更新失败时怎么快速定位谁在拦？
报错类似 Conclusion: don't install vendor/package v3.2.0，说明依赖图里有其他包硬性要求旧版。这不是权限问题，是 SAT 求解器判定无解。
- 先查源头：
composer prohibits vendor/package:v3.2.0，输出会明确告诉你哪个包的哪条require在冲突 - 安全做法：降级那个冲突包的版本，再
composer update conflicting-package - 临时绕过（仅限调试）：
composer require vendor/package:v3.2.0 --no-update写进composer.json，再composer update vendor/package --with-all-dependencies - 别删
composer.lock后install—— 这会重算全部依赖，极可能升级一堆间接依赖，破坏稳定性
最易被忽略的一点：分支名大小写和远程仓库必须一字不差。写成 dev-Main 或 dev-main/fix（多斜杠）都会失败，报 Could not find a matching version，而不是更友好的提示。验证前先 git ls-remote https://github.com/vendor/package refs/heads/* 看真实分支名。
