Composer无包级白名单机制，本质是禁用默认源（composer config -g repo.packagist false）后手动为每个需用包显式添加可信仓库；未禁用默认源时，所有repositories配置仅为额外源而非替代源。
Composer 没有“包级白名单”机制，所谓“对某个包设白名单”，本质是关掉默认源 + 为该包显式指定可信仓库。直接配 repositories 并不能让 Composer “只从某源拉这个包”，它只会按顺序查所有已声明仓库——除非你先禁用默认源。
composer config -g repo.packagist false 是前提
不执行这一步，所有后续仓库配置都只是“额外加源”，不是“替代源”。Packagist 默认行为是：先查 https://packagist.org，找不到才 fallback 到你配的其他 repositories。想真正限制来源，必须先关掉它：
-
composer config -g repo.packagist false—— 注意键名是repo.packagist，不是repo.packagist.org或repositories.packagist - 执行后，
composer require或composer update会直接失败，除非你已手动加了对应仓库 - 验证是否生效：
composer config -g -l | grep repo.packagist应输出repo.packagist=false
为单个包加专属仓库必须用 repositories.xxx
关掉默认源后，每个你想用的包都得单独注册一个仓库。比如只想让 laravel/framework 走阿里云镜像，其他包（如 monolog/monolog）暂时不用，就只配这一个：
composer config -g repositories.laravel type composercomposer config -g repositories.laravel url https://mirrors.aliyun.com/composer/- 注意
repositories.laravel中的laravel是任意自定义键名，但必须唯一；它和包名无关，只是标识符 - 这个配置不会自动绑定到
laravel/framework包——Composer 查包时，会遍历所有repositories，直到某个源返回该包的composer.json
为什么 composer require laravel/framework 仍可能失败
即使你加了 repositories.laravel，composer require laravel/framework 仍可能报 Package not found，常见原因：
- 该镜像源没同步最新版（如阿里云镜像延迟几小时），而你要的版本只在
packagist.org上有 - 你配的 URL 不是完整 Composer 镜像（比如填了 GitHub 地址而非
https://mirrors.aliyun.com/composer/） - 没确认该包是否真在镜像中：打开
https://mirrors.aliyun.com/composer/p/laravel/framework.json看能否访问 - 临时救急：
composer require laravel/framework --repository=https://packagist.org，单次绕过全局限制
更新单个包时白名单配置是否生效
白名单（即禁用默认源 + 手动仓库）影响的是「包发现阶段」，跟 composer update vendor/package 是否能执行无关。只要该包已在 composer.json 中声明，且其版本约束允许升级，命令就能跑通——但拉取行为仍受仓库配置约束：
- 如果
vendor/package只在你配的镜像里有，composer update就走那个镜像 - 如果它同时在多个仓库存在，Composer 会选第一个返回结果的（顺序由
composer config -g -l输出中的排列决定） - 关键点：白名单不阻止更新，只约束下载源；真正控制“只更新一个包”的，永远是
composer update vendor/package这个命令本身，不是仓库配置
最容易被忽略的是：关掉 repo.packagist 后，composer update（无参数）会直接失败，而不是“默默走镜像”。很多人以为配了镜像就万事大吉，结果一更新全崩——因为根本没意识到默认源已被切断，且没补全所有依赖包的仓库声明。
