Packagist與“ git clone”和作曲家的安裝

Question

剛向包裝員推了一個包裝：

composer require rokfor/rokfor-slim:dev-master

返回錯誤

Your requirements could not be resolved to an installable set of packages.

  Problem 1
  - Installation request for rokfor/rokfor-slim 
    dev-master -> satisfiable by rokfor/rokfor-slim[dev-master].
  - rokfor/rokfor-slim dev-master requires 
    jlndk/slim-jade ^1.0 -> no matching package found.

如果我像

$ git clone https://github.com/rokfor/rokfor-slim
$ cd rokfor-slim
$ composer install

一切都安裝得很好。

我想我在這里缺少了一些關鍵的東西。 是否不允許通過vcs存儲庫中的源代碼將軟件包推送給packagist？

composer.json看起來像：

{
"name": "rokfor/rokfor-slim",
"description": "Rokfor CMS: Headless CMS with JSON api",
"keywords": ["rokfor", "slim","framework","view","template","jade"],
"homepage": "http://cloud.rokfor.ch",
"license": "MIT",
"type": "project",
"time": "2016-02-28",
"authors": [
    {
        "name": "Rokfor",
        "homepage": "http://www.rokfor.ch"
    }
],
"repositories": [
    {
        "type": "vcs",
        "url": "https://github.com/urshofer/slim-jade"
    },
    {
        "type": "vcs",
        "url": "https://github.com/Rokfor/rokfor-php-db"
    },
    {
        "type": "vcs",
        "url": "https://github.com/urshofer/slim-auth"
    }
],
"require": {
    "php": ">=5.5.0",
    "slim/slim": "~3.0",
    "jlndk/slim-jade": "^1.0",
    "rokfor/db": "dev-versioning",
    "monolog/monolog": "^1.17",
    "slim/csrf": "^0.6.0",
    "jeremykendall/slim-auth": "dev-slim-3.x",
    "slim/flash": "^0.1.0",
    "akrabat/rka-ip-address-middleware": "^0.4.0",
    "palanik/corsslim": "dev-slim3",
    "erusev/parsedown": "^1.6",
    "predis/predis": "^1.0",
    "lcobucci/jwt": "^3.1",
    "ext-gd": "*"
},
"require-dev": {
    "phpunit/phpunit": "*"
},
"minimum-stability": "dev",
"prefer-stable": true
}

Answer 1

在庫中，除了在packagist.org上可用的庫之外，您不能引用任何其他內容。 或者，您指示用戶參考其他來源的軟件包信息。

僅允許在根composer.json添加vcs和軟件包存儲庫，除了指示您的用戶執行composer require your/lib之外的其他操作外，您不能將其作為庫來影響。 這是種煩人的事情，並且還可能出於安全考慮，因為這不僅會為您的單個庫打開大門，而且還會為任何庫打開大門。

就像您對“ jlndk / slim-jade”所做的一樣（原始作者從其存儲庫中以0.0.1 ，另一位作者重新發布了該文檔，而沒有將其添加到packagist或更改lib的名稱中，而添加了版本標簽1.0 ） ，軟件包信息的任何其他來源都可能會添加更多軟件包信息，即添加例如symfony軟件包的較新的惡意版本。