私有仓库冲突难定位因版本不可公开验证、tag漏推、分支混乱等，导致composer命令失效；需检查仓库配置、认证、标签规范及镜像同步状态，并人工干预依赖图。
私有仓库本身不制造冲突，但会让冲突更难发现、更难回滚——因为包版本不可公开验证，更新策略常被绕过，composer.json 里写的约束容易和实际发布的 tag 对不上。
为什么私有仓库的冲突特别难定位
公有包（如 guzzlehttp/guzzle）的版本发布记录透明，composer show 能查到所有 tag；私有包往往只有内部 Git 仓库，tag 可能漏推、分支命名混乱、甚至用 dev-master 直接上线。结果就是：composer why-not vendor/private-package:2.1.0 返回空，不是没冲突，而是那个版本根本没在 Packagist 镜像或私仓元数据里注册。
- 运行
composer show vendor/private-package时如果提示Package not found，先确认私仓源是否已正确配置在composer.json的repositories段，且类型为vcs或package - 私仓用 GitLab/GitHub 私有库时，确保
auth.json里写了对应 token，否则 Composer 会静默跳过该源，导致“明明写了却装不到” - 私有包若用
"type": "metapackage"或"replace"字段，composer show --tree可能不显示它的真实依赖，得直接看它的composer.json
私有包版本号写错导致 install 卡死
常见错误是把分支名当版本号用："vendor/private-package": "dev-feature/login"。Composer 默认只信任稳定版本（stable），除非你显式设 "minimum-stability": "dev" 或加 --stability=dev。但这会连带影响所有其他包，风险太大。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确做法：在私有包仓库打正式 tag（如
v2.1.0），然后在项目中写"vendor/private-package": "^2.1" - 临时调试可用
composer require vendor/private-package:dev-main --no-update，再手动composer update vendor/private-package，避免全量重算 - 别在
composer.json里混用dev-分支和^x.y约束，Composer 解析器会优先匹配分支而非版本，导致依赖树不一致
多个私有包互相锁死版本怎么办
比如 app-core 要求 utils-lib:^1.3，而 reporting-module 锁死 utils-lib:1.2.5，两者都来自同一私仓。Composer 不会自动降级或合并，它只认“有没有满足所有约束的版本”。这时必须人工干预依赖图。
- 先跑
composer prohibits vendor/utils-lib:1.3.0，看哪条路径明确拒绝这个版本（输出里带(for package vendor/reporting-module)的那行就是根因） - 进
reporting-module仓库，检查它的composer.json是否真需要1.2.5—— 很多时候是旧版遗留，其实^1.3也能跑 - 改完私有包后，立刻 push tag（如
v1.3.1），并在主项目执行composer update vendor/reporting-module --with-dependencies，强制拉取新约束下的子依赖 - 如果私有包不能改，就只能在主项目
composer.json里硬写"vendor/utils-lib": "1.2.5"，并加"conflict": {"vendor/utils-lib": ">=1.3"}防止误升
私仓镜像同步延迟引发的冲突假象
有些团队用 Artifactory 或 Satis 做私仓镜像，但镜像更新有 lag。你本地 git tag v2.2.0 推了，Satis 还没抓取，composer install 就会报 Could not find package vendor/private-package with version ^2.2，看起来像冲突，其实是元数据没刷。
- 验证方式：直接 curl 私仓 API（如
https://your-satis/repo/packages.json），搜索目标包名，看versions数组里有没有你要的 tag - Artifactory 用户可进 UI → “Artifact Repository Browser”，路径是否为
vendor/private-package/2.2.0/private-package-2.2.0.zip？缺失就说明同步失败 - 别用
composer clear-cache解决这个问题——缓存清了，镜像还是没数据；得触发镜像手动刷新或等 cron 同步
最麻烦的不是找不到解法，而是私有包缺乏语义化版本习惯：一个 v1.0.0 里可能包含 breaking change，而 v1.0.1 又悄悄回滚了。这种情况下，composer why-not 有用，composer show --tree 也准，但人得亲自去翻 commit diff 才敢点 update。
