Composer 的 repositories 不生效是因为未配置包路由规则，必须通过 package 类型声明或匹配包名前缀来指定源，而非仅添加仓库地址。
为什么 composer.json 里的 repositories 不生效？
因为 Composer 默认只用 packagist.org，你加了自定义仓库但没告诉它“哪些包该从哪下”，它就全走默认源。关键不是加仓库，而是控制「包路由」——即哪个包名前缀走哪个源。
常见错误现象：composer require myorg/private-package 仍报 404，明明 repositories 里已配置了私有 GitLab 地址。
- 必须在
repositories中为每个源指定type（如vcs、composer、package），不能只写 URL - 若用
vcs类型，Composer 不会自动索引整个仓库，必须确保目标包的name和version在其composer.json中明确定义 - 多个
composer类型源（如私有 Packagist 镜像）之间无优先级，需靠packagist.org的allow-plugins或repositories顺序 + 包名匹配逻辑控制流向
如何让特定包强制走私有源？
靠 repositories 的 package 类型手动声明包元数据，绕过自动发现。适合私有包未托管在标准 Composer 仓库、又不想暴露 Git 地址给所有开发者时。
示例：把内部工具包 acme/utils 指向私有 Git 仓库，并锁定 v1.2.0：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
"repositories": [
{
"type": "package",
"package": {
"name": "acme/utils",
"version": "1.2.0",
"dist": {
"url": "https://git.example.com/acme/utils/archive/v1.2.0.tar.gz",
"type": "tar"
},
"autoload": { "psr-4": { "Acme\Utils\": "src/" } }
}
}
]
-
package类型不支持版本别名（如dev-main），必须写死语义化版本 -
dist.url必须可公开访问（或 CI 环境已配好认证），否则composer install会失败 - 如果同时存在
vcs和package声明同一包名，Composer 以package为准 —— 这是强制路由的最可靠方式
composer config repositories. 命令和 composer.json 冲突怎么办？
命令行添加的仓库会写入项目级 composer.json 的 repositories 数组末尾；但如果你本地全局配置（~/.composer/config.json）也设了 repositories，它们会被合并，且全局源优先级低于项目源。
- 运行
composer config --list可查看当前生效的所有仓库（含全局 + 项目） - 用
composer config --unset repositories.0可删掉第一个项目源，但无法直接删全局源 —— 得去编辑~/.composer/config.json - CI 环境中建议统一用项目级
composer.json声明，避免依赖开发者本地全局配置，导致构建结果不一致
私有源 + Packagist.org 混用时的性能与安全注意点
Composer 默认对每个启用的 composer 类型源都执行完整元数据同步（packages.json 下载），哪怕只装一个包。多个源 = 多次 HTTP 请求 + 更长锁文件生成时间。
- 禁用 Packagist.org：设
"packagist.org": false在repositories顶部，再显式列出所需镜像，避免意外回源 - 私有
composer源必须支持robsontenorio/laravel-package-updater类协议（即提供符合规范的packages.json），否则composer update会静默跳过该源 - Git 类型源（
vcs）每次update都要 fetch 远程分支，若仓库巨大或网络差，建议改用artifact类型打包 zip 后上传到内网 HTTP 服务
真正麻烦的从来不是加几个源，而是当团队里有人手抖删了 repositories 里的 packagist.org 条目，又没同步更新 lock 文件，结果新成员 composer install 直接失败——这种隐性依赖，比语法错误更难排查。
