“package rejected by policy”是策略插件主动拦截，非composer原生报错；需检查composer.json或全局插件中是否启用composer-policy-plugin等合规校验插件，确认许可证（spdx id）、版本白名单或作者信任列表是否匹配，临时诊断可用--no-plugins验证，但生产环境禁用。
Composer install 时被拦截，提示 “Package rejected by policy”
这是政策校验插件（如 composer-policy-plugin 或自定义 PluginInterface 实现）主动抛出的异常，不是 Composer 原生行为。它说明当前要安装的包未通过组织预设的合规检查——比如许可证不被允许、版本不在白名单、作者不在信任列表，或包含有已知高危 CVE。
常见现象：composer install 卡在 Resolving dependencies 后报错，堆栈里出现 PolicyException 或类似自定义异常类；composer require xxx 直接失败，不生成 lock 文件。
- 先确认是否启用了策略插件：检查
composer.json的"require-dev"或全局插件目录，搜索composer-policy-plugin、spatie/composer-package-privacy或内部命名的策略包 - 查看插件文档或源码中的
getPolicyRules()或配置文件（如policy.json），明确当前生效的规则类型（许可证匹配用 SPDX ID 还是正则？版本约束是^还是严格==？） - 临时绕过仅用于诊断：运行
composer install --no-plugins，若成功则 100% 是插件拦截；但生产环境禁止长期禁用
如何让一个依赖通过许可证校验
许可证校验通常比版本号更易踩坑——不是“开源就行”，而是精确匹配策略中列出的 SPDX ID（如 "MIT"、"Apache-2.0"），且不允许组合（"MIT OR Apache-2.0" 不等于 "MIT"）。
实操要点：
- 查目标包的真实许可证：运行
composer show vendor/package --all | grep license，注意它可能声明多个 license，而插件默认只取第一个或要求全部匹配 - 若包用的是非标准许可证（如自定义文本、
"BSD-3-Clause-Clear"），即使语义等价，SPDX 不识别也会被拒；此时需联系策略维护者添加映射或例外 - 不要改
composer.lock里的license字段——插件在校验时读的是包composer.json源头声明，不是 lock 文件缓存值
开发阶段跳过某包的策略检查（仅限调试）
有些插件支持 per-package 临时豁免，但机制因实现而异，不能靠猜。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
正确做法：
- 检查插件是否接受
--with-policy-bypass=vendor/package这类参数（运行composer install -h | grep bypass） - 若插件读取环境变量（如
COMPOSER_POLICY_SKIP），可临时设置：COMPOSER_POLICY_SKIP="vendor/package" composer require vendor/package - 绝对不要注释掉插件 autoload 或删
extra.policy-rules——这会破坏整个策略体系，且下次composer update可能自动还原
CI 流水线里策略失败却没报错
这是最危险的情况：策略插件静默失效，导致非合规包流入生产环境。根本原因通常是插件未被正确加载——尤其在 Docker 构建或 CI 使用精简镜像时。
验证与修复：
- 在 CI 脚本中加一行：
composer global list | grep policy，确认插件已全局安装；若用项目本地插件，检查vendor/bin下是否有对应二进制，且composer.json的require包含它 - 策略插件若依赖 PHP 扩展（如
json、openssl），而 CI 镜像禁用了这些扩展，插件构造函数会抛出Throwable并被 Composer 吞掉——表现为“无报错但不生效” - 在 CI 中显式启用插件调试：
COMPOSER_PLUGIN_DEBUG=1 composer install，观察日志里是否有Loading policy plugin或Skipping validation for...类似输出
策略校验不是开关式功能，而是深度耦合在依赖解析链路中；一旦加载失败或配置路径错误，它就彻底消失，连 warning 都不打。这点比语法错误难排查得多。
