答案：Composer报“Could not find package”等错误90%非网络问题，而是镜像未真正生效——因全局配置未落至实际执行用户家目录（如Docker中root配而www-data运行）、容器/CI用户上下文覆盖、auth.json位置或权限错误（必须600）、镜像URL末尾缺斜杠、token租户绑定失效所致。
私有化部署 SaaS 时，composer install 卡住或报 Could not find package、file_get_contents(): failed to open stream，90% 不是网络问题，而是镜像没真正生效——全局配置写在了错的用户家目录下，或被容器/CI 用户上下文覆盖。
为什么 composer config -g 在 Docker 或宝塔里不生效
根本不是命令写错了，是 ~/.composer/config.json 没落到实际执行 Composer 的用户路径里。
- Docker 构建阶段用
root执行composer config -g，但运行时容器以www-data启动，它读不到/root/.composer/ - 宝塔计划任务默认用
www用户运行，而你本地配的是/root/.composer/config.json - GitHub Actions 中没缓存
~/.composer目录，每次都是全新环境，composer config -g白跑 - K8s Job 设置了
runAsUser: 1001，就得确保该 UID 对应用户的家目录下有正确配置，硬写/root/.composer会权限拒绝
部署脚本里该用哪条命令写镜像
别手动改 JSON 文件，用 Composer 自带命令保证格式合法、自动 merge 到现有配置中。
- 全局生效（适合单用户容器）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（注意末尾斜杠必须有） - 项目级生效（推荐 CI/多租户场景）：
composer config repo.packagist composer https://mirrors.ustc.edu.cn/composer/，它会直接写进当前目录composer.json的repositories字段 - 如果已存在其他私有源，用
composer config --merge避免覆盖：composer config --merge repositories.packagist '{"type":"composer","url":"https://mirrors.tuna.tsinghua.edu.cn/composer/"}'
auth.json 怎么随部署包一起固化
私有包拉不下来，多数因为 auth.json 没放对位置、权限不对、或 token 绑定错了租户上下文。
-
auth.json必须放在三个路径之一：./auth.json（项目根目录）、$COMPOSER_HOME/auth.json、$HOME/.composer/auth.json - 文件权限必须是
600，否则 Composer 直接忽略（尤其在非 root 容器里） - token 不能复用：每个租户实例应生成短期 token（如 GitHub App Installation Token），有效期建议 ≤1 小时
- 推荐做法：部署脚本启动时，从环境变量
COMPOSER_AUTH_TOKEN读取，用echo '{"github-oauth": {"github.com": "'"$COMPOSER_AUTH_TOKEN"'}}" > /tmp/auth.json && chmod 600 /tmp/auth.json，再挂载进容器对应路径
最常被跳过的一步：镜像 URL 末尾漏斜杠、auth.json 权限设成 644、token 权限缺 read:packages。这些细节不检查，自动化脚本跑十次也失败九次。
