根本原因是composer未将私有包autoload信息写入vendor/composer/autoload_psr4.php；需确认包已安装、composer.json含有效autoload配置、执行composer dump-autoload --optimize刷新映射，并在phpstan.neon或phpcs.xml中显式添加私有包源码路径。
私有仓库本身不阻断代码质量扫描，但认证缺失、依赖解析失败或 autoload 未生效会导致 phpstan、phpcs 等工具报“类找不到”或“无法分析”错误——关键不在工具配置，而在 Composer 能否正确拉取并加载私有包的代码。
私有仓库认证失效时 phpstan 报 Class not found
这是最常见现象：本地 composer install 成功，但 vendor/bin/phpstan analyse 却提示找不到私有包里的类。根本原因不是 PHPStan 配置错，而是 Composer 没把私有包的 autoload 信息写进 vendor/composer/autoload_psr4.php（或其他 autoload 文件）里。
- 确认私有包是否真的被安装到
vendor/下对应路径（如vendor/myorg/my-private-lib） - 检查该包的
composer.json是否含有效"autoload"段（至少要有"psr-4"或"classmap"） - 运行
composer dump-autoload --optimize强制刷新 autoload 映射（尤其在私有包更新后） - 若用 HTTP Basic 认证，确保
COMPOSER_AUTH环境变量在 CI 或 IDE 中已正确注入，且用户名密码未过期
phpcs / phpstan 扫描私有包源码需显式包含路径
默认情况下，phpcs 和 phpstan 只扫描你明确指定的目录。即使私有包已安装并 autoload 正常，它的源码也不会自动纳入静态分析范围——除非你告诉工具“去那里看”。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
phpcs：在phpcs.xml的<file></file>标签中添加私有包路径，例如：<file>vendor/myorg/my-private-lib/src/</file> -
phpstan：在phpstan.neon的parameters > paths下追加路径：- vendor/myorg/my-private-lib/src - 注意路径必须是实际源码位置，不是 symlink 或 dist 缓存；若私有包用的是
"type": "path"本地链接，确保该路径可读且未被.gitignore掩盖
CI 环境中 composer install 后 phpstan 仍失败的典型链路
GitHub Actions 或 GitLab CI 中，composer install --no-dev 会跳过 require-dev，导致 phpstan、phpcs 本身没装上——更别说分析私有包了。
- CI 脚本必须分两步：
composer install --no-interaction（不含--no-dev），再执行扫描命令 - 若生产环境严格禁用 dev 依赖，可在 CI 单独设一个
qualityjob，用完整依赖安装 - 私有仓库认证不能只靠
~/.composer/auth.json：CI 中应统一用COMPOSER_AUTH环境变量，内容为 JSON 字符串（非文件路径） - 某些私有仓库（如 GitHub Packages）需额外配置
repositories段，并启用"packagist.org": false防止 Composer 绕过私有源
私有包的代码质量扫描真正卡点往往不在工具本身，而在于 Composer 加载链的完整性——从认证、安装、autoload 注册，到工具路径显式声明，缺一不可。最容易被忽略的是：本地能跑通不等于 CI 能跑通，因为环境变量、用户权限、缓存策略全都不一样。
