Satis是静态生成器而非Web服务，必须手动build、用Nginx托管packages.json、客户端显式声明type为composer且URL以/结尾、禁用packagist.org，否则composer install必报错。
绝大多数公司该直接用 satis，不是因为它便宜，而是它不跑 PHP-FPM、不连外网、不依赖数据库，生成完扔到 Nginx 就能用——私有 Packagist 的本质需求是“稳定交付元数据”，不是建个带登录页的包市场。
为什么不能把 Satis 当 Packagist 网站用
satis 是静态生成器，不是 Web 服务。你看到的 dist/ 目录里只有 packages.json、ZIP 包和 HTML 页面，没有 PHP 脚本、没有路由、没有 session。常见错误现象：composer install 拉不到新版本、satis build 卡在 Cloning into bare repository、生成的 packages.json 里压根没你的包——这些都不是配置写错了，而是误以为它会自动监听 Git push 或定时扫描仓库。
- 它不支持实时同步：每次更新必须手动执行
php bin/satis build satis.json web/ - 它不处理权限：Git 私有仓库的认证靠
auth.json或 SSH key，satis自己不存凭据 - 它不校验 license：不会拦截 MIT 和 GPL 冲突，也不会报 SPDX 格式错误
composer.json 怎么配才真正生效
只往 repositories 数组里加一条 URL 是无效的。Composer 默认仍 fallback 到 packagist.org，一旦同名包存在，就永远拉不到你的私有版。
- 私有源必须放在
repositories数组首位，且"type": "composer"（不能是package或vcs） -
url值必须以/结尾，否则路径拼错成https://pkgs.example.compackages.json（404） -
"packagist.org": false必须写在repositories同级，不是嵌套在某个源里
正确示例：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
{
"repositories": [
{
"type": "composer",
"url": "https://pkgs.internal.company/"
}
],
"packagist.org": false
}
satis.json 配置最容易漏的三个字段
生成失败或包没进 packages.json，往往不是 Git 地址写错，而是关键字段缺失或类型不对。
-
"name"和"homepage"是必填项：缺任一，Composer 客户端会直接拒绝加载该源 - 私有包含
dev-分支？必须显式加"require-dependencies": true，否则依赖树不全 - 要用 ZIP 包而非源码安装？
"archive"块里"skip-dev": false得设对，否则dev-main不打包
auth.json 放错位置，认证就永远失败
composer install 提示 Authentication required 却死活过不去？大概率是 auth.json 放错了地方。
- Composer 查找凭据顺序严格：当前项目目录 →
$COMPOSER_HOME/auth.json（通常是~/.composer/auth.json）→ 旧版$HOME/.composer/auth.json（已弃用但部分环境仍读） - 最稳妥做法是统一用全局配置：
composer config -g http-basic.gitlab.internal company-token xxx - 如果走 SSH，确保
git@gitlab.internal:org/pkg.git能在构建机上手动git clone成功
复杂点在于：Satis 构建时用的是构建机的 Git 环境，而项目安装时用的是开发机的 Composer 环境——两套凭据体系得分别配，且不能混用 HTTPS Token 和 SSH key。
