Composer默认从packagist.org回退下载私有包，因它将packagist.org作为隐式兜底源且优先级高于后加私有源；必须在repositories数组最前添加私有源并紧随{"packagist.org": false}禁用回退。
Composer为什么默认会从packagist.org回退下载私有包
当你在 composer.json 里声明了一个私有包（比如 "acme/utils": "dev-main"），但没配 repositories，Composer 会照常去 packagist.org 查——查不到就报 Could not find package acme/utils。但一旦你加了私有仓库，又没控制好顺序，它可能先命中 packagist.org 的同名“影子包”，再静默跳过你的私有源，导致装错版本甚至执行恶意代码。
根本原因：Composer 对 repositories 数组是**从左到右依次尝试**的，但对未显式声明的包，它默认把 packagist.org 当作隐式兜底源（且优先级高于你后加的私有源）。除非你显式关掉它。
- 必须在
repositories数组最前面放私有源（如{"type": "composer", "url": "https://repo.acme.com"}） - 必须紧跟着加一条
{"packagist.org": false}来禁用默认回退 - 不能只写
"packagist": false—— 这个键名无效，Composer 忽略，等于没关
如何验证私有包是否真的走对了源
光改配置不保险。运行 composer show acme/utils 只显示版本信息，看不出来源；composer install -v 日志里又太刷屏。最直接的办法是清缓存后强制重解析：
- 执行
composer clear-cache - 删掉
vendor/和composer.lock - 运行
composer install -vvv 2>&1 | grep -A2 "acme/utils"
你会看到类似这样的日志行：Downloading https://repo.acme.com/p2/acme/utils.json
而不是 https://packagist.org/p2/acme/utils.json。如果出现后者，说明 {"packagist.org": false} 没生效或位置错了。
私有源类型选 composer 还是 package？
如果你的私有包是持续开发、带 composer.json 和分支/标签的常规项目，一律用 "type": "composer"。它支持自动发现、版本约束、依赖解析，和 packagist.org 行为一致。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
只有极少数场景才考虑 "type": "package"：比如你只想硬绑死某个 Git commit 的 zip 包，且不希望 Composer 去解析它的依赖（例如做临时补丁）。但这样会丢失自动更新能力，也绕过所有版本约束检查，反而增加维护风险。
-
"type": "composer"要求私有仓库服务（如 Satis、Private Packagist、Artifactory）已正确暴露packages.json和 p2 API - 别在
repositories里混用两种类型处理同一个 vendor 名——Composer 不保证解析顺序，可能引发冲突 - 如果私有包本身依赖其他私有包，确保它们都在同一个私有源中注册，否则 Composer 仍可能去 packagist.org 找下游依赖
CI/CD 环境下最容易漏掉的认证环节
本地 auth.json 配置了 token，composer install 没问题；但 CI 流水线里往往忘了注入凭证，结果 fallback 到匿名访问——私有源返回 401，Composer 自动切到 packagist.org，然后装上一个同名但完全无关的包。
- 在 CI 脚本开头加一句
composer config http-basic.repo.acme.com $ACME_REPO_USER $ACME_REPO_TOKEN - 不要依赖
auth.json文件挂载——不同 runner 用户权限不同，路径容易错 - 用
composer diagnose检查时，注意看输出里有没有Repo acme.com is private and requires authentication提示；没有不代表成功，只是没主动校验
依赖投毒不是理论风险。只要私有包名被公开注册过、或者攻击者提前占用了同名包，一次未受控的源切换就足以让 composer install 执行任意 PHP 代码。真正关键的不是“怎么加私有源”，而是“怎么堵死所有回退路径”。
