composer config -g repo.packagist 是告诉 Composer 将 Packagist.org 公共包的元数据请求转向国内镜像（如阿里云），仅加速开源包下载，不处理私有包、不改变依赖解析逻辑、不影响 outdated 或 audit 等生命周期命令。
国内用 Composer 装包慢、超时、404，不是镜像配错了，而是把“加速下载”和“管理生命周期”混为一谈了——前者靠 repo.packagist 配置就能解决，后者根本不需要镜像服务。
composer config -g repo.packagist 是什么，又不是什么
它只是告诉 Composer：当你要找一个在 Packagist.org 上注册的开源包（比如 monolog/monolog、guzzlehttp/guzzle）时，请去阿里云镜像站查，而不是访问原始 packagist.org。它不处理私有包，不改依赖解析逻辑，也不影响 composer outdated 或 composer audit 的行为。
- 生效范围仅限 Packagist 公共索引下的包；
acme/utils这类内部包完全不受此配置影响 - 配置后仍可能遇到
Could not find package acme/utils，这不是镜像问题，是没声明repositories - 命令示例：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 错误写法：
composer config -g repos.packagist（少了个o，字段名错就静默失败）
私有中文包找不到的真正原因和解法
报 Could not find package acme/wechat-sdk，99% 是因为 Composer 根本没被“告知去哪里找”。它不会自动扫描你内网某台服务器上的目录，也不会从你本地 packages.json 文件里猜路径。
- 必须在项目
composer.json的repositories字段中显式声明源地址，类型为composer - 内网源必须提供可公开访问的
packages.json（Satis/Nexus/Artifactory 均支持），且其中dist.url或source.url要能被开发机或 CI 机器 curl 通 - 不要把私有源和公共镜像混在同一个
url下，例如"url": "https://packages.acme.com/"和"url": "https://mirrors.aliyun.com/composer/"必须分两条写 - 顺序很重要：
repositories数组靠前的源优先匹配；建议把私有源放后面，避免意外覆盖开源包
composer outdated --all 为什么还是看不到私有包更新
composer outdated 默认只查 Packagist 元数据，即使你已正确配置 repositories，它也不会主动去你内网源拉取最新版本列表——因为它没权限、也没约定协议去轮询你的私有源。
立即学习“PHP免费学习笔记（深入）”；
- 私有包版本是否“过期”，得靠你人工维护
packages.json中的versions字段，或用 Satis 的build命令重建索引 -
composer outdated --all对私有包无效；想检查更新，得手动运行：curl -s https://packages.acme.com/packages.json | jq '.packages."acme/wechat-sdk" | keys' - CI 中若需自动化比对，应在构建前加一步脚本：用
composer show acme/wechat-sdk --all查当前锁版本，再调 API 拉取远端可用版本做 diff - 别依赖
composer update acme/wechat-sdk自动升最新——它只升满足composer.json中约束的版本，比如"^2.1"就不会升到3.0
废弃私有包时，composer audit 不报警怎么办
composer audit --abandoned 只读 Packagist 官方数据库，对你内网发布的 acme/old-sms-sdk 完全无视。就算你在自己包的 composer.json 里写了 "abandoned": "acme/new-sms-sdk"，Composer 也看不到。
- 唯一有效方式：在私有源生成的
packages.json中，为该包对应条目手动添加"abandoned": true或"abandoned": "acme/new-sms-sdk" - Satis 支持通过
abandoned配置项自动生成；Nexus 需安装第三方插件或用 REST API 手动 PATCH - 更务实的做法：在根项目
composer.json的scripts里加个post-install-cmd，用grep -q "acme/old-sms-sdk" vendor/composer/installed.json && echo "WARNING: acme/old-sms-sdk is deprecated" - 注意：这个警告在 CI 中可能被缓存跳过，建议搭配
--no-cache使用
真正的生命周期管理难点不在“怎么装”，而在“谁来保证私有源的 packages.json 始终准确反映真实发布状态”——这没法靠一条命令自动完成，得靠发布流程卡点和元数据同步机制。
