Wenn man private Repos in einer composer.json eingebunden hat, muss man ein Token zur Verfügung stellen, auch wenn man ein Paket installiert, was damit nichts zu tun hat.
Das lässt sich umgehen mit:
composer req xxx/yyy:@dev --no-interaction
# oder kurz
composer req xxx/yyy:@dev --n