内测版依赖是运行时崩溃的常见人为原因，因其不承诺api稳定性；需用composer show、composer depends等命令定位，并通过minimum-stability: stable等配置禁止其进入生产环境。
内测版（dev-*、alpha、beta、rc）依赖是运行时不稳定最常见的人为诱因，不是偶然问题，而是设计使然——它们本就不承诺 API 稳定性或向后兼容。
为什么 dev-* 版本会让项目在 runtime 崩溃
Composer 默认允许安装不稳定版本，只要你的 minimum-stability 没锁死，或者某个包的 require 显式写了 "dev-main" 或 "2.x-dev"，就可能拉下未经充分测试的代码。
- 类名/方法名被重命名或删除，
Class not found或Call to undefined method直接报错 - 配置结构变更（如 Laravel 的
config/xxx.php键名调整），导致config()返回 null 或类型错误 - 事件监听器签名变化，注册时无异常，触发时 fatal error
- 底层依赖升级了不兼容的子依赖（比如某
dev包悄悄 require 了guzzlehttp/guzzle:^8.0，而你项目其他部分还依赖 v7）
如何快速定位哪个 dev 包在作祟
别靠猜。用 Composer 自带命令直接揪出不稳定节点：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer show --all --direct | grep -E "(dev-|alpha|beta|rc)"，列出所有直接声明的不稳定依赖 - 查
composer.lock里packages和packages-dev下每个包的version字段，找带-dev后缀或预发布标识的条目 - 执行
composer depends vendor/package，确认谁把那个dev包带进来的——常是某个“工具型”包（如测试辅助、代码生成器）偷偷 require 了 unstable 版本
禁止 dev 版本进入生产环境的硬性措施
光靠人工检查不可靠，必须靠配置拦截：
- 在
composer.json根级加"minimum-stability": "stable"，并显式声明"prefer-stable": true—— 这能压住绝大多数宽松约束下的漂移 - 删掉所有
"minimum-stability": "dev"或"minimum-stability": "alpha"这类降级配置，哪怕只在require-dev里也不行 - CI 流水线中加校验步骤：
composer show --all --direct | grep -q -E "(dev-|alpha|beta|rc)" && echo "UNSTABLE DEPENDENCY DETECTED" && exit 1 || exit 0 - 如果必须用某个
dev分支做临时验证，用composer require vendor/package:dev-feature-branch --no-update先写入，再composer update vendor/package --with-dependencies --dry-run看影响范围，绝不直接composer update
真正棘手的不是发现 dev 版本，而是它混在子依赖里且没暴露在 composer show 直出列表中；这种情况下，composer prohibits 和锁文件 diff 是唯一可靠手段。
