composer 可通过配置 repositories 为 vcs 类型并指定 github 仓库 url 来加载开发中包，需配合 minimum-stability 或版本稳定性标记（如 dev-main as 1.0.0）启用非稳定版本安装，私有仓库需正确配置 ssh key 或 github Token。
怎么让 Composer 加载 GitHub 上的开发中包？
直接在 composer.json 里声明 Git 仓库地址，Composer 就能把它当包来安装——不需要发布到 Packagist，也不用打 tag。
关键不是“能不能”，而是“怎么写才不被忽略”。常见错误是只填了 "type": "vcs" 却漏掉仓库 URL，或者用了私有仓库但没配 SSH key。
- 在
repositories数组里加一条，"type": "vcs"+"url"指向 GitHub 仓库 https 或 SSH 地址（如"https://github.com/username/package-name.git"） -
require中照常写包名和版本号，但版本必须对应远程分支或 tag：用"dev-main"拉 main 分支，"dev-feature/x"拉 feature/x 分支，"1.0.x-dev"会匹配所有带 1.0 前缀的分支 - 如果仓库是私有的，确保运行
composer install的机器已配置好 GitHub 的 SSH key（HTTPS 方式需提前登录git config --global credential.helper store或用 token）
为什么 dev-main 装不上，却提示 “no matching package found”？
因为 Composer 默认只认稳定版本（stable），而 dev-main 是开发版，需要显式允许非稳定类型。
最常漏掉的是 "minimum-stability" 和 "prefer-stable" 配置，不是仓库写错了，是策略卡住了。
- 在根
composer.json顶层加上"minimum-stability": "dev"（或"minimum-stability": "alpha"等更低等级） - 同时建议加
"prefer-stable": true，避免意外把其他依赖也全降成 dev 版 - 如果只希望某个包走 dev，其他保持 stable，就别动全局
minimum-stability，改用"require"中指定版本时带上稳定性标记："vendor/package": "dev-main as 1.0.0"
用 path repository 替代 vcs 会不会更简单？
本地调试时确实更快，但和 VCS 是两回事：path 是硬链接本地目录，vcs 是从远程 clone 并走完整安装流程。
误用 path 的后果很隐蔽——比如你改了 vendor 里的代码，下次 composer update 可能直接覆盖掉；而 vcs 方式每次都会 clean clone，更接近真实部署环境。
- path 适合快速验证改动，vcs 才是协作和 CI 中真正模拟“引入未发布包”的方式
- path 仓库的
composer.json必须有"name"字段，且和require中写的完全一致，否则报could not find package - path 不支持分支切换，也不能用
composer require vendor/name:dev-xxx动态换分支，vcs 支持
CI 环境下 VCS 包总失败，是不是权限问题？
八成是 GitHub token 权限不足或没传进构建环境。GitHub 在 2021 年后禁用密码登录 Git，CI 里用 HTTPS 克隆必须带 token。
不是 Composer 配置的问题，是 Git 层根本连不上。
- 把 token 写进 URL：
"https://<code>GH_TOKEN@github.com/username/repo.git”（注意 token 要 URL 编码，比如+变成%2B） - CI 中避免明文写 token，用 secret 注入环境变量，再通过
composer config github-oauth.github.com ${GITHUB_TOKEN}配置认证 - SSH 方式要确保 CI 机器的
~/.ssh/known_hosts已预置 GitHub host key，否则首次 clone 会卡住
分支名拼错、token 过期、SSH key 没加载——这些才是 CI 报 Could not fetch 或 Permission denied 的真实原因，不是 Composer 本身不 work。