Composer镜像源不参与多租户隔离，“Cache命中冲突”是伪命题；冲突根源在于项目配置错误、共享vendor目录或composer.lock复用，而非镜像本身。
Composer 镜像源本身不参与多租户隔离，所谓“Cache 命中冲突”根本不存在——镜像只是 HTTP 代理，缓存发生在 Composer 客户端本地或 CI 构建层，冲突源头永远是项目配置或共享路径。
为什么“多租户镜像缓存冲突”是个伪命题
Composer 镜像（如 https://mirrors.aliyun.com/composer/）不保存用户上下文，也不按租户分片缓存。它只做两件事：转发请求、缓存上游 packages.json 和 ZIP 包。所有租户共用同一份元数据缓存，这是设计使然，不是漏洞。
真正出问题的场景其实是：
- 多个项目（模拟“租户”）共用同一
vendor/目录或COMPOSER_VENDOR_DIR环境变量 - CI 流水线未清理构建上下文，上一个租户的
composer.lock被误用于下一个租户构建 - Docker 构建中 COPY 整个目录导致
vendor/被带入，绕过composer install步骤
这些都不是镜像的问题，而是环境复用失控。
如何避免跨租户 vendor/ 或 lock 文件污染
在团队或 SaaS 平台中支持多租户 PHP 应用时，必须切断物理路径共享：
- 禁止在父目录（如
/var/www）运行composer install；每个租户项目必须有独立根目录，含自己的composer.json和composer.lock - 禁用
COMPOSER_VENDOR_DIR全局设置，它会让不同租户往同一位置写vendor/ - CI 中每次构建前执行
rm -rf vendor/ composer.lock，再从干净状态composer install --no-dev - Dockerfile 中严格分离：先
COPY composer.json composer.lock .，再RUN composer install，最后COPY . .
注意：composer install --discard-changes 是安全还原锁文件的首选，比 rm -rf vendor && composer install 更快且保留 autoload 结构。
镜像源配置被项目级 repositories 覆盖的典型表现
你以为全局配了阿里云镜像，但租户 A 的 composer.json 里写了：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
{"repositories": {"packagist.org": false}}
结果租户 A 完全走不了镜像，还可能因元数据陈旧报出“找不到新版包”的假象。
排查和修复步骤：
- 在租户项目目录下运行
composer config --list | grep repositories.packagist.url，确认输出是否为预期镜像地址 - 检查
composer.json是否含"repositories"字段；若有，删掉或显式设为有效镜像："repositories": {"packagist.org": {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}} - 临时验证：运行
composer config --unset repositories（不加-g），再试composer install
别信 composer clear-cache 能解决这个问题——它清的是 ZIP 缓存，不影响 repositories 配置的优先级逻辑。
真正需要隔离的不是镜像，而是 Composer 解析上下文
多租户环境下最易被忽略的一点：Composer 的依赖解析器是单实例、路径敏感的。一旦两个租户共享 vendor/autoload.php，PSR-4 映射就绑定在第一个生成它的路径上，第二个租户加载类时会找错目录。
这无法靠换镜像、调 TTL 或加 header 解决。唯一可靠方式是：
- 每个租户使用独立 PHP-FPM pool，
chdir()到自身项目根目录后再加载autoload.php - Web 服务器（Nginx/Apache）的
root必须指向租户专属public/，严禁跨租户复用入口脚本 - 私有 SDK 的
composer.json中避免写死版本，改用语义化约束（如"monolog/monolog": "^2.8"），减少因版本硬冲突导致的解析失败
镜像同步延迟、元数据不一致、no-cache 头滥用……这些问题都可查可修；但路径绑定导致的 autoload 错位，往往静默发生，直到某个类方法突然不存在才暴露出来。
