Composer require 不支持通配符包名，仅支持明确 vendor/name；通配符仅适用于 composer update 已安装包或 path 仓库的 "*" 版本约束，语义化版本如 ^、~ 仅对远程包有效。
Composer require 命令本身不支持通配符匹配包名
执行 composer require foo/* 或 composer require "laravel/*" 会直接报错：Could not find package。这不是网络或权限问题，而是 Composer 的设计限制：require 只接受明确的 vendor/name 字符串，不解析通配符、不递归扫描、不模糊查找包名。
真正支持通配符的是 composer update 命令，比如：
composer update monolog/monolog symfony/*
但注意：这仅用于批量更新已安装的包，不能用来首次安装未声明过的包。
版本号里的 * 是合法通配符，但仅用于 path 类型本地仓库
在 composer.json 的 require 段写 "my-vendor/pkg": "*" 是有效的，但只在你配置了 path 类型仓库的前提下才起作用。它不是语义化版本通配，而是告诉 Composer：“请完全信任该本地包 composer.json 中声明的 version 字段”。
-
"*"是唯一被 path 仓库接受的版本约束；写^1.2.0、dev-main或1.2.*都会触发Invalid version string - 本地包目录下的
composer.json必须存在且合法，其中name和version字段必须与主项目 require 条目严格一致 - 改了本地包的
version，下次composer update就会立刻拉取新值——不靠 lock 文件缓存，靠的是文件系统实时读取
真正可用的版本模糊匹配规则只有 ^、~ 和 .*
这些是语义化版本（SemVer）的约束语法，只对远程包（Packagist / VCS）有效：
-
^2.9→ 允许2.9.0到2.x最高兼容版（推荐主依赖） -
~2.9.0→ 等价于>=2.9.0 ，适合需锁死次版本的场景 -
2.9.*→ 仅允许补丁更新（如2.9.1、2.9.99），但官方不推荐，易与 shell 通配混淆 -
dev-main或8.x是分支别名，不是通配符；它们绕过 SemVer 检查，直接指向 Git 分支
所有这些写法都要求目标包在 Packagist 上注册，或你已正确配置了 VCS 仓库。写错大小写、漏掉冒号、多加空格（如 foo/bar : dev-main）都会导致解析失败。
搜不到包？别用 composer search 试通配
composer search log 只匹配包名和 description 的前缀，不支持 *、? 或全文模糊。搜 logging 很可能返回空，但搜 log 能命中 monolog/monolog。
更可靠的方式是：
- 直接访问 packagist.org 网页搜索，支持关键词高亮和描述全文匹配
- 确认包是否私有——私有包不会出现在 Packagist，必须手动加
repositories - 检查镜像源是否同步滞后：
composer config repo.packagist.org.url
路径、name、大小写、冒号位置、仓库类型——这五个点只要错一个，Composer 就不会去读你的本地目录，也不会帮你猜你想装什么。
