don’t allow unmet deps without @allow_remote

fixes #3141