Composer私有仓库必须解决认证、包发现、版本同步和依赖隔离四问题，否则将出现install失败、401错误或dev分支拉取异常；Packagist不支持权限控制与私有部署，企业应采用Satis+Nginx+Basic Auth方案，并通过Git Tag触发构建确保版本一致。
直接上结论：Composer私有仓库不是“搭个Satis就能用”，必须解决认证、包发现、版本同步和依赖隔离四个硬性问题，否则迟早出现composer install失败、401 Unauthorized报错或开发环境拉不到最新dev-master分支。
为什么 Packagist.org 不能直接用于企业内部共享
公开包托管服务默认不支持细粒度权限控制，所有包对互联网可见；企业代码一旦推到 public Packagist，等于放弃源码所有权。更重要的是，Packagist 不提供私有域名、自定义认证头、分支白名单等关键能力。
常见错误现象包括：
- 团队成员误将内部 SDK 发布到 public Packagist，触发安全审计告警
-
composer require internal/utils在 CI 环境中报Could not find package internal/utils，但本地能装——因为没配置私有仓库源 - 不同项目共用同一私有包，但一个项目锁了
"internal/utils": "^1.2"，另一个却用了"dev-feature/x"，导致行为不一致
推荐方案：使用 Satis + Nginx + Basic Auth 组合
Satis 是最轻量且可控的 Composer 私有仓库生成器，它不运行服务，只生成静态 packages.json 和下载 ZIP 包，适合中小团队快速落地。关键点在于它不处理认证，必须由 Web 服务器（如 Nginx）补足。
实操建议：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
satis.json中显式声明"require-all": true，避免漏同步子依赖 - 用
"archive": {"skip-dev": false}保留dev-分支 ZIP，否则composer install --prefer-dist会失败 - Nginx 配置中必须设置
auth_basic "Private Packages"，并限制只允许/packages.json和/dist/路径可被访问，其他路径全部deny all - 不要把 Satis 构建目录放在 Web 根目录下，应单独映射为
/repo子路径，防止泄露satis.json或构建日志
如何让 composer 命令自动识别私有源
全局配置容易污染开发者本地环境，推荐项目级配置。在项目根目录的 composer.json 中添加：
{
"repositories": [
{
"type": "composer",
"url": "https://repo.your-company.com"
}
],
"config": {
"secure-http": false,
"http-basic": {
"repo.your-company.com": {
"username": "ci",
"password": "xxx"
}
}
}
}
注意几个易踩坑点：
-
secure-http: false仅限内网环境启用，公网必须用 HTTPS + 有效证书 -
http-basic的 key 必须是仓库域名（不含协议和路径），否则认证不生效 - CI 流水线中若用
composer install --no-interaction，必须提前注入COMPOSER_AUTH环境变量，格式为 JSON 字符串：{"http-basic":{"repo.your-company.com":{"username":"ci","password":"xxx"}}}
包版本管理与发布流程怎么不翻车
私有包不能靠手动 push ZIP 文件更新，必须绑定 Git Tag 触发 Satis 构建。否则会出现 “代码已改，但 composer update 拉不到” 的典型脱节。
标准流程应为：
- 私有包仓库打 Git Tag（如
v2.1.0），Tag 名必须符合语义化版本规范 - CI 检测到新 Tag，执行
satis build satis.json web/，生成新packages.json - 构建产物自动 rsync 到 Nginx 对应目录，并
chown -R www-data:www-data web/ - 主项目执行
composer update internal/utils即可获取新版本
切记：不要在私有包中写死 "minimum-stability": "dev"，这会让所有依赖它的项目默认拉取 dev-master，破坏版本锁定。稳定包应始终发布 Tag，开发阶段用 path 仓库临时替代。
