需在composer.json的require中写"monolog/monolog": "dev-main"，并配合"minimum-stability": "dev"和"prefer-stable": true，或使用composer require命令加--stability=dev参数；同时确保repositories正确配置vcs类型及可用url。
composer.json里怎么写才能装dev分支
直接在require里写"monolog/monolog": "dev-main"是无效的——Composer默认只认stable及以上稳定性，dev-前缀属于dev级，必须显式放宽限制。
两种可靠写法：
- 项目级配置：
"minimum-stability": "dev"+"prefer-stable": true（推荐），既允许装dev-分支，又优先选稳定版 - 命令行临时覆盖：
composer require monolog/monolog:dev-main --stability=dev，不改配置文件，适合CI或一次性调试
注意：dev-main不是万能写法。GitHub新仓库默认分支叫main，老项目可能还是master，得看目标仓库实际分支名。写错会报Could not find a version of package ... matching your minimum-stability。
用repositories配置私有分支时的三个关键字段
当你想装自己Git仓库某个特定分支（比如feature/login-v2），不能只靠require，必须配repositories告诉Composer“去哪找”。常见错误是漏掉type或写错url协议。
最小可用配置示例：
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/yourname/your-package.git"
}
],
"require": {
"yourname/your-package": "dev-feature/login-v2"
}
}
必须检查的点：
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
type必须是"vcs"，不是"package"或"composer"；否则Composer当普通包处理，不走Git解析 -
url要能被当前环境git clone通——私有仓库需提前配好SSH key或auth.json，否则composer update会卡在Cloning into ... - 分支名里含
/时，require中必须写成dev-feature/login-v2，不能写feature/login-v2或dev-feature-login-v2
为什么composer.lock里记录的是commit hash而不是分支名
因为分支是动态的，main今天指向a1b2c3，明天可能变成d4e5f6。Composer为保证可重现性，composer.lock里存的是实际安装时该分支HEAD对应的完整commit hash（如"reference": "a1b2c3d4e5f67890..."）。
这意味着：
- 运行
composer install时，哪怕远程分支已更新，只要lock没变，装的仍是旧commit - 想升级到分支最新，必须
composer update yourname/your-package，触发重新解析分支HEAD - 如果分支被强制推送（force push），原hash失效，
composer install会失败并报Failed to download ... Could not load package ... No valid composer.json was found
所以别指望靠改composer.json里的分支名来“热更新”，lock文件才是真实版本锚点。
多分支协作时如何避免composer.lock冲突和隐式降级
团队多人同时在dev-feature-a和dev-feature-b上开发，各自composer update后提交lock，合并时容易出现packages数组重排、content-hash不一致、甚至某个包从3.1.0倒退到2.9.1——这不是bug，是环境差异放大的结果。
真正可控的做法只有三条：
- 全局启用排序：
composer config -g sort-packages true，确保所有人生成的packages数组顺序一致，消除Git假冲突 - 固定PHP平台：
"config": { "platform": { "php": "8.2.12" } }，防止因本地PHP版本不同导致依赖树计算结果不一 - CI中强制校验：
composer install --dry-run --no-interaction，只要输出Lock file is not up to date就让CI失败，拦住不一致的merge
最常被忽略的一点：很多人以为composer update --lock只是更新hash，其实它默认会重排整个packages块。真要安全更新，必须加--with-dependencies或明确指定包名，否则等于主动制造diff。
