Composer不区分开源闭源，关键在补全元数据链路：需在repositories显式声明源类型（vcs/path/composer），私有源配auth.json或oauth，Packeton需禁用packagist.org fallback，并确保branch名与require版本一致。
Composer 本身不区分“闭源”或“开源”，它只认配置：包能不能装，取决于你有没有告诉它去哪儿找、有没有权限进、路径和命名空间对不对。所谓“壁垒”，其实是配置断点，不是技术鸿沟。
怎么让 Composer 找到并安装你的自研授权包
关键不是改 Composer，而是补全它的元数据链路。它不会自动扫描你硬盘上的目录，也不会猜你 Git 仓库里哪个分支是“正式版”。
- 必须在项目
composer.json的repositories字段中显式声明源类型和地址——私有 Git 用"type": "vcs"，本地开发用"type": "path"，Packeton 私有源用"type": "composer" - 若源是 GitHub/GitLab 私有仓库，需提前配好
auth.json或全局github-oauth，否则composer install会卡在 “Could not fetch” 并报 401 - 若源是 Packeton，除了
repositories，还必须加"packagist.org": false，否则 Composer 在 Packeton 找不到包时会自动 fallback 到公网，暴露内部包名结构 -
composer require vendor/name:dev-main中的dev-main必须与包内composer.json的"version"或实际分支名一致；写成dev-master却只有main分支，就会提示Could not find package
Class not found 的真实原因往往不在 autoload
很多人一看到这个错误就猛敲 composer dump-autoload -o，但 80% 的情况是路径或命名空间根本没被 Composer 识别为已安装包。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先运行
composer show vendor/name—— 如果报Package not found，说明包压根没装进去，dump-autoload再多次也没用 - 确认包是否以
path方式加载：输出里应含source: path ./packages/xxx；若是dist类型，说明 Composer 去远程拉了副本，不是你本地改的那份 - 检查包内
composer.json的autoload.psr-4：键是命名空间（如"MyCompany\Utils\": "src/"），值是相对于包根目录的路径；类文件src/Helper.php对应的完整类名必须是MyCompany\Utils\Helper，少一个反斜杠或大小写错，就加载失败 - Laravel 项目里还要注意：Facade、Service Provider 不是靠 Composer 自动注册的，得手动加进
config/app.php
许可证字段只是元数据，不是法律通行证
你在 composer.json 里写 "license": "MIT"，不代表这个包真能按 MIT 用；别人 composer require 你的包，也不代表他自动获得了合规授权。
-
composer show vendor/name输出的license字段，只读取已安装包的composer.json，不打开 LICENSE 文件，不校验内容一致性 - 如果字段值是
"SEE LICENSE IN LICENSE.md"，那必须人工核对对应文件全文——composer audit完全不处理这事，也别信任何声称“自动解析 LICENSE 文件”的第三方插件 - 企业级合规场景下，仅靠
config.license白名单不够：它只匹配 SPDX 标识符，且默认不启用；必须配合--strict-licenses才生效，而这个开关 CI 里常被遗漏 - 闭源包若填
"license": "proprietary"，composer show会照常输出，但下游系统（如 SCA 工具）可能直接拦截，这点在交付前必须和法务对齐
最易被忽略的一点：所有配置都依赖 composer.lock 的精确性。一旦你改了 repositories 或换了 Token，必须删掉 composer.lock 并重跑 composer install，否则旧缓存会静默沿用过期凭据或错误源地址。
