用途：当任务收到某个 Laravel 应用的 GitHub 包仓库 URL，或已安装的 Composer 包需要补写使用说明，或 composer.json、composer.lock 与 docs/packages/ 不同步时使用。不适用于 npm 包、非 Laravel 的 PHP 项目或向 Packagist 发布库。
流程：先确认项目根目录，并把 GitHub HTTPS URL 规范化为 github.com/<组织>/<仓库>，仅接受小写字母、数字、点、下划线或连字符的路径段。动手前先阅读本地说明、composer.json、composer.lock、.specsfy/PACKAGES.md、docs/packages/README.md 及已有说明卡片，并优先复用已安装的包。
在目标仓库中查阅 composer.json、README、配置文档、已发布版本与用法示例，区分来源声明、项目本地现状与尚未确认的信息。识别 Composer 名称、PHP 与 Laravel 版本、附加要求、安装命令、配置文件、发布命令与测试方式。若仓库未暴露兼容的 Composer 包，应先停止并说明缺口；若未发布到 Packagist，需检查 manifest 中的 repositories 并在添加 VCS 源前获得明确授权。
若包尚未安装且当前请求授权安装，可在项目根目录执行 composer require <vendor/name>；仅在项目自身将其视为开发依赖时使用 --dev。不要未经确认就执行从 README 抄来的安装后命令。建立或更新 docs/packages/<vendor>-<name>.md，保留人工备注。
规范：以 composer.lock 为准记录版本；卡片名使用规范化的 Composer 名（/ 转 -）；索引分开列出生产与开发依赖；说明真实入口点；禁止把密钥、.env、整包代码或第三方长文档复制进 docs/packages/。
验证：确认 URL、Composer 名、版本与要求有主要来源支撑；运行 composer validate --strict，已安装时查看 composer show <vendor/name>，运行项目已有的测试、格式化与静态分析工具，并核对索引链接与说明卡的一致性。