必须用私有包+精确版本锁定，禁用dev-前缀依赖；共享包须用独立命名空间如myorgcontracts，严禁复用app等泛化前缀；ci需校验composer show输出是否匹配预期tag，并执行composer install --no-interaction。
必须用私有包 + 精确版本锁定，不能靠 composer update 同步共享逻辑。
为什么不能在各服务里直接 require 开发分支或 dev-main
本地调试时用 "myorg/contracts": "dev-main" 看似方便，但上线前极易忘记切回稳定 Tag。CI 构建时若没强制校验 Git 分支状态，生产环境就可能跑着未测试的快照版，DTO 字段缺失直接抛 Notice: Undefined index。更危险的是：不同服务在不同时间执行 composer update，短时间内容易出现混合版本调用——A 服务用着 v2.3.0，B 服务已升到 v2.3.1，而后者删了一个字段，RPC 调用当场失败。
- 所有跨服务共享包（DTO、领域事件、接口定义）必须打语义化版本，如
"myorg/contracts": "2.3.1" -
composer.json中禁用dev-前缀依赖，"minimum-stability": "stable"必须显式声明 - CI 流水线第一步应校验
composer show myorg/contracts输出是否匹配预期 Tag
私有仓库配置不等于自动透传公共包
私有 Packagist（如 Satis 或 Private Packagist）默认只托管你明确发布的包，不会自动代理 packagist.org 上的 guzzlehttp/guzzle 或 easywechat/easywechat。如果在 repositories 里写了 "packagist": false，整个官方源就被关掉了，composer require 会直接报 Could not find package。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确写法是显式声明官方源：
"packagist.org": {"type": "composer", "url": "https://packagist.org"} - 若用 Satis，需在
packages.json里加"include": ["https://packagist.org/packages.json"]合并元数据 - CI 中执行
composer install必须带--no-interaction，否则遇到信任提示会卡住
autoload 冲突不是偶然，是命名空间和路径设计失误
多个微服务包都设 "psr-4": {"App\": "src/"}，或者共享包里也用了 AppDomainCustomer，composer dump-autoload -o 会按 repositories 顺序覆盖映射，最终只有最后一个生效。现象是类存在但加载失败，vendor/autoload.php 明明引入了，调用时仍报 Class not found。
- 共享包必须用独立命名空间，如
MyOrgContracts，严禁复用App或Domain这类泛化前缀 - 所有微服务项目自身代码必须严格限定在自己的命名空间下（如
OrderServiceApp），与共享包物理隔离 - 运行
composer dump-autoload -vvv可查看实际生成的映射顺序，验证是否被覆盖
Shared-Kernel 的难点从来不在“怎么装”，而在“谁批准改、改了谁验证、验证完怎么推、推完怎么灰度”。Composer 只负责把确认过的版本搬进 vendor/，它不校验契约、不触发通知、不阻止 BC break。真正要守住的，是发布流程里的那道人工 gate —— 比如 PR 合并前必须通过全量契约测试，Tag 推送后必须由 bot 自动向所有依赖方发升级 PR。
