Composer无镜像源白名单机制，本质是禁用默认源后显式声明可信仓库；需全局配置repo.packagist=false并严格定义repositories键名、type与https镜像URL，否则包发现失效或校验降级。
Composer 没有“镜像源白名单”机制，所谓白名单实际是禁用默认源 + 显式声明可信仓库的组合操作；直接配 repo.packagist 只是换源，不是白名单，也不提供包级控制能力。
composer config -g repo.packagist false 是白名单的前提
不关掉默认源，任何 repositories 配置都不会接管 packagist.org 的包发现逻辑。这个开关必须用 false（布尔值），不能写成 null 或空字符串，否则 Composer 2.2+ 会忽略它。
- 执行后，
composer require foo/bar会直接报错 “Package not found”，除非你已在repositories中显式注册了该包所在源 - 全局配置生效后，
composer config -g -l | grep repo.packagist应输出repo.packagist=false - 注意：键名只能是
repo.packagist，写成repo.packagist.org或repositories.packagist都无效
repositories 中的键名和 type 必须严格匹配
每个手动添加的仓库都需指定 type 和唯一键名，且键名不能重复、不能含点号（.），否则 Composer 会静默跳过该条目。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确示例：
composer config -g repositories.aliyun type composer+composer config -g repositories.aliyun url https://mirrors.aliyun.com/composer/ - 错误示例：
composer config -g repositories.packagist.org url ...→ 这个仓库不会替代默认行为，只当普通自定义源处理 - 若某包仅存在于 packagist.org（如小众私有包），需单独加回：
composer config -g repositories.official type composer+composer config -g repositories.official url https://packagist.org
项目级配置无法覆盖 repo.packagist=false 的全局限制
repo.packagist 开关只在全局配置中生效，项目级 composer.json 里的 repositories 不会触发默认源恢复。这意味着：一旦全局禁用了默认源，所有项目都受约束，除非你在每个项目里手动补全所需仓库。
- 团队协作时，建议把仓库声明写进项目
composer.json的repositories字段，而非依赖全局设置，避免环境不一致 - CI 流水线若失败，先检查是否因全局
repo.packagist=false导致找不到包，再确认composer.json是否已声明对应源 - 临时绕过限制可用：
composer require foo/bar --repository=https://packagist.org，但不推荐长期使用
安全风险：HTTP 镜像或停更镜像会跳过签名验证
启用白名单模式后，如果任一 repositories 使用 HTTP 协议或指向未同步 signature 字段的旧镜像（如已下线的 https://packagist.laravel-china.org），Composer 会自动降级为无校验安装，vendor 目录可能被投毒。
- 必须确保所有
url值以https://开头，且镜像站支持 Composer 2.5+ 的元数据签名字段 - 验证方式：
composer diagnose输出中应含secure-http: OK和signature verification: OK - 阿里云、清华、腾讯云当前镜像均支持 signature 同步，但需确认 URL 是官方维护地址，而非第三方转发站
真正难的不是加几行配置，而是厘清「谁在什么时候决定从哪个源拉哪个包」——repo.packagist 控制默认路由，repositories 提供备选路径，而 allow-plugins 和 security.signature 才是最后的安全闸门。漏掉任意一层，白名单就只剩名字好听。
