composer require 能正常拉取私有包，前提是 auth.json 已正确配置、repositories 声明匹配、且包名与私有源中 name 字段完全一致——三者缺一不可，少一个都会报 Could not find package 或 401 Unauthorized。
直接结论：composer require 能正常拉取私有包，前提是 auth.json 已正确配置、repositories 声明匹配、且包名与私有源中 name 字段完全一致——三者缺一不可，少一个都会报 Could not find package 或 401 Unauthorized。
为什么 composer require 会卡在 401 或找不到包
这不是 require 命令本身的问题，而是它触发了 Composer 的完整解析链：先查 repositories 找源 → 再向该源发 HTTP 请求获取 packages.json → 此时才需要认证。常见断点如下：
-
repositories里写了https://pkg.internal，但auth.json里配的是pkg.internal（漏了https://前缀？不，域名只取主机名）——必须是"pkg.internal"，不能写成"https://pkg.internal"或"pkg.internal:443" - 私有源类型为
"vcs"（如 GitLab HTTPS 地址），但auth.json没配，或配了却用git@协议——Composer 不会把http-basic凭据传给 SSH，必须统一用https://协议 - 包已发布，但私有源（如 Satis、Private Packagist）未重新 build 或未启用该包，导致
packages.json里根本没这个name条目 - CI 环境下用了
COMPOSER_AUTH环境变量，但值不是合法 JSON（比如多了逗号、用了单引号、缩进不规范），Composer 直接忽略而不报错
auth.json 必须放对位置且格式严格
auth.json 不是可选配置，是私有包认证的唯一合法入口。Composer 查找顺序固定：当前项目根目录 → 用户家目录（~/.composer/auth.json）。生产环境和 CI 中强烈推荐放家目录，避免误提交。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 文件权限必须是
600（Linux/macOS），否则 Composer 会静默跳过 - 内容只能有
http-basic字段，不能混入github-oauth或其他字段（除非你真在用 GitHub OAuth） - 密码字段填 Personal Access Token（如
glpat-xxx或ghp_...），别用账号密码；GitLab/GitHub 需开read_packages权限 - 如果私有源走自签名 HTTPS，需额外在同级
config.json中设"secure-http": false，但仅限内网——公网项目禁用
repositories 声明必须显式、精确、按序
Composer 不支持通配符或命名空间路由，"myorg/*" 这种写法在 repositories 或 require 中都是非法 JSON。真正起作用的是数组顺序 + 完整包名匹配。
- 私有源必须放在
repositories数组最前面，否则会被后面的公开镜像截胡（例如阿里云镜像不托管你的internal/auth-sdk，但 Composer 仍会去查一遍才放弃） - URL 必须以
/结尾（如"https://pkgs.myorg.com/"），否则拼packages.json时变成https://pkgs.myorg.com/packages.json→ 404 - 类型必须为
"composer"（不是"vcs"），否则无法解析元数据；Git 仓库类私有包若用"vcs"，则无需auth.json，但必须确保 Git 凭据已配置（不推荐） -
packagist.org应显式禁用：{"packagist.org": false}，避免 fallback 到官方源造成混淆
require 命令执行后还需验证 autoload 是否生效
composer require internal/auth-sdk 成功不代表类能立刻用。Composer 的自动加载映射来自 composer.json 的 autoload 配置和 vendor/composer/autoload_*.php 文件，不是实时扫描。
- 新增包若含自己的
autoload规则（如"psr-4": {"Internal\Auth\": "src/"}），需运行composer dump-autoload才能生效 - 如果只是想测试类是否可 new，别直接改代码，先跑
composer show internal/auth-sdk确认已安装，再用php -r "var_dump(class_exists('Internal\Auth\Client'));"验证 - CI 中若跳过
dump-autoload，可能导致测试通过但运行时报Class not found—— 这个坑容易被忽略，因为本地开发常靠 IDE 缓存“以为”它存在
