Composer如何设定版本稳定性标记_Composer stability flag用法【核心】

Composer版本稳定性标记：那些你必须显式声明的规则

在Composer依赖管理的世界里，有一个核心原则常常被开发者误解：默认情况下，它只安装稳定版。这意味着，即使你在项目的composer.json里将minimum-stability设置为beta，如果在require声明中不为对应的包显式加上@beta这样的后缀，Composer依然会跳过那些beta版本。这可不是建议，而是铁律。

规则很明确：必须显式加 @ 后缀才能生效，不写就默认只装 stable 版——哪怕你项目里设了 minimum-stability 为 beta，require 里没带 @beta，Composer 依然可能跳过 beta 版本。

为什么 composer require vendor/pkg:^2.0@beta 还报 “could not find package”

命令明明写对了，为什么还是找不到包？问题根源往往不在于命令本身，而在于Composer解析版本的两步流程：它先根据项目的minimum-stability设置来过滤出一个“候选版本池”，然后才在这个池子里匹配你写的版本约束。如果项目顶层根本没有设置"minimum-stability": "beta"，那么像v2.0.0-beta1这样的版本压根就不会进入候选池，你后面写的@beta自然也就无用武之地了。

除此之外，还有几个细节坑值得警惕：

• 大小写敏感：@rc（小写）或@Rc会被Composer完全忽略，行为会退回到@stable；正确的写法必须是@RC。
• 依赖覆盖：子依赖包在自己的composer.json里声明的"minimum-stability": "dev"，会覆盖你项目级别的设置。
• 确认标签：运行composer show vendor/pkg --all，确认该包确实发布了-beta1这样的标签，而不是只有dev-main分支或-RC1标签。
• 同步更新：别只修改require部分，记得同步更新composer.json顶层的minimum-stability字段。

minimum-stability 和 prefer-stable 到底谁管用

这两个配置项职责分明，可别搞混了。可以把minimum-stability想象成一道硬性的“过滤闸”，它决定了哪些版本的包有资格进入候选名单。而prefer-stable则更像是在名单确定后，一个具有“稳定版偏好”的评选官——它只负责在池子里挑选更稳定的那个，但绝不拦人，也不过滤。

• 场景一：设置"minimum-stability": "beta" + "prefer-stable": true。当同时存在2.0.0（稳定版）和2.1.0-beta2（测试版）时，Composer会选择前者。但如果只有2.1.0-RC1，它也会照装不误，因为RC版本的稳定性等级不低于beta。
• 场景二：只设"prefer-stable": true而不设minimum-stability。这基本是无效的，因为默认的minimum-stability就是stable，候选池里本来就没有其他稳定等级的版本可供“偏好”选择。
• 终极锁死：如果想彻底锁死只安装稳定版，必须双管齐下：同时设置"minimum-stability": "stable"和"prefer-stable": true。

什么时候该用 @dev，什么时候该用 --stability=dev

这涉及到作用范围的问题。@dev是“精准授权”，只对声明它的那个特定包生效。而--stability=dev则是“临时放宽全局门槛”，它会影响到本次命令中所有没有显式指定稳定性标记的依赖包。

• 分支安装：直接运行composer require vendor/pkg:dev-main通常会失败，除非你额外加上--stability=dev参数，或者项目已设置minimum-stability: dev。
• 理解dev-main：它不是一个版本号，而是一个分支别名。这意味着每次composer update都可能拉取最新的提交，显然不适合生产环境。
• 使用建议：对于私有包或内部调试，使用@dev更安全，影响范围可控。在CI/CD流水线中临时安装一个beta包，使用composer update vendor/pkg --stability=beta这样的命令则更为可控。
• 私有仓库：如果包在GitHub私有仓库中，务必确保已在repositories中配置好认证，否则即使写了@dev，也会报Could not find package错误。

最后，一个真正容易被忽略的底层逻辑是稳定性等级的单向过滤性：当你将minimum-stability设为beta时，你就永远看不到dev等级的包；但反过来，如果设为dev，则会把所有alpha、beta、RC、stable版本的包全都放进来。这种“降级不可逆”的机制决定了，你无法依靠prefer-stable来把已经放进来的dev版本拦在外面。理解这一点，才算真正摸清了Composer稳定性控制的脉络。