Composer 正确访问私有云仓库需三要素：显式声明"type": "composer"及JSON元数据URL、配置http-basic认证、禁用默认packagist源；多源共存时依赖数组顺序、canonical标记与包命名前缀控制路由。
私有云仓库不是加个 URL 就能用，composer install 会直接报 Could not find package xxx at any version 或 401 Unauthorized——核心卡点在认证、源优先级和元数据可信链三处。
怎么让 Composer 正确识别并访问私有云仓库
必须显式声明仓库类型为 composer，且 URL 指向的是可公开访问的 JSON 元数据根路径（如 https://packages.internal/api/），不是 Git 地址或 Web 页面。Satis 生成的静态仓库、Private Packagist 实例、或自建的 Packagist 兼容服务都符合此结构。
- 错误写法：
"url": "git@internal.git:team/lib.git"—— 这是 VCS 源，仅用于索引，不能作为安装源 - 正确写法：
"type": "composer", "url": "https://packages.internal/" - 若私有仓库启用了 HTTP Basic Auth，必须提前配置：
php composer.phar config http-basic.packages.internal username password - 使用
canonical: true强制只从此源查找包，避免因其他镜像干扰导致版本错乱
为什么设置了私有源，composer install 还是去 packagist.org 找包
因为 Composer 默认启用 packagist.org 作为全局源，除非你显式禁用它。即使你在项目 composer.json 中加了私有仓库，Composer 仍会按顺序遍历所有可用源，直到找到匹配包。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 解决方案一（推荐）：在项目根目录执行
php composer.phar config repo.packagist false，关闭默认源 - 解决方案二：在
composer.json的repositories数组顶部插入{"packagist": false} - 切勿依赖
minimum-stability或prefer-stable来“屏蔽”公共源——它们只影响版本选择逻辑，不改变源扫描顺序 - 验证是否生效：运行
composer config --list | grep repositories，确认packagist已被设为false
私有包安装失败时，如何快速定位是认证、网络还是元数据问题
别直接重跑 composer install，先分层验证。关键看 composer diagnose 和手动请求元数据文件。
- 第一步：执行
composer diagnose，检查是否提示HTTP proxy support is disabled或HTTPS is not working—— 私有云仓库强制 HTTPS，若系统 CA 证书过期或 OpenSSL 版本太低，会静默失败 - 第二步：用
curl -I https://packages.internal/packages.json测试元数据端点，确认返回200 OK且Content-Type: application/json - 第三步：若返回
401，检查是否漏配http-basic；若返回403，确认账号有读取packages.json和具体包 dist ZIP 的权限 - 第四步：查看
vendor/composer/installed.json是否包含你的私有包条目——没有说明元数据压根没被加载进来
多私有源共存时，怎么控制哪个包走哪个源
靠 repositories 数组顺序 + canonical + 包名前缀匹配。Composer 不支持正则或通配符路由，只能靠命名规范约束。
- 把最专用的源（如内部核心库）放在
repositories数组最前面，并设"canonical": true - 次级源（如团队共享组件）设
"canonical": false，确保它只在主源未命中时才参与查找 - 所有私有包必须统一命名空间前缀（如
acme/*、corp/*），并在对应源中只索引匹配该前缀的仓库 - 避免跨源同名包：如果
acme/logger同时存在于两个私有源，Composer 可能随机选一个，且不会警告
最容易被忽略的是元数据时效性——Satis 构建后不自动刷新，Private Packagist 同步有延迟窗口，CI 推送 tag 后立刻 composer install 可能拉到旧版本。务必在部署流水线里加入等待或轮询校验步骤。
