项目级 repositories 必须是数组且首项为 {"packagist.org": false}，否则 Composer 2.2+ 会静默回退至 packagist.org 导致行为不可预测；改完 composer.json 后必须删除 vendor 和 composer.lock 才能生效，因 lock 文件锁定旧 dist URL；全局镜像需手动清空以防污染项目配置。
为什么项目级 repositories 必须是数组且首项为 {"packagist.org": false}
Composer 2.2+ 把 packagist.org 当作硬编码权威源，仅在 repositories 里写个镜像 URL 不会禁用它。不显式关闭，镜像 404 或超时后会静默 fallback 到官方源，导致部分包走镜像、部分走 packagist.org，行为不可预测。
必须满足三个条件：
-
repositories字段值必须是数组（[]），不能是对象（{}）——写成对象会被完全忽略 - 第一项必须是独立的
{"packagist.org": false}，不能合并进第二项（比如{"packagist.org": false, "type": "composer", "url": "..."}是无效的） - 镜像 URL 末尾必须带
/，例如https://mirrors.aliyun.com/composer/；少斜杠会导致请求路径拼成/composerpackages.json，返回 404 后触发 fallback
改完 composer.json 后，为什么必须删掉 vendor 和 composer.lock
composer.lock 里存的是每个包的完整 dist URL（比如 https://api.github.com/.../zipball/），它是在旧配置下生成的。Composer 安装时优先读 lock 文件，完全不重新解析 repositories —— 即使你刚加了镜像，它仍按 lock 里写的地址去下载。
所以必须手动清理：
- 执行
rm -rf vendor composer.lock，再跑composer install才会重新解析composer.json并生成新 lock - CI 脚本里要加
rm -f composer.lock && rm -rf vendor，否则缓存会复用旧 lock - 别信
composer update --dry-run的输出，它不验证元数据源是否生效
如何防止全局镜像污染项目行为
只要项目 composer.json 中定义了 repositories 数组，Composer 就会彻底忽略全局的 repo.packagist 配置。但问题在于：有人可能在全局配了镜像，又在项目里写了另一个，结果部分命令（如 composer require）因上下文不同读取逻辑不一致，引发混用。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
建议团队统一执行：
-
composer config --global --unset repo.packagist，清空所有成员的全局 Packagist 镜像设置 - 验证是否清空：
composer config --global repo.packagist输出应为空或https://packagist.org（即恢复默认） - CI 脚本开头加一句
composer config --global --unset repo.packagist，防止单独配置残留
私有源和镜像共存时的顺序怎么写
私有 VCS 源（如 GitLab 私库）不受 repo.packagist 影响，因为它们是 "type": "vcs"，和 Packagist 镜像不冲突。但多个 "type": "composer" 源之间有顺序依赖。
正确写法是：
- 第一项仍是
{"packagist.org": false} - 第二项放私有 Composer 源（如内部私有包仓库）
- 第三项起才是公开镜像（如阿里云），URL 末尾带
/ - 不要删掉
packagist.org条目——它是兜底项，只是被显式禁用；若全删，Composer 可能跳过默认源逻辑，导致某些未声明的包无法解析
容易被忽略的一点：镜像只是下载通道，真正决定版本的是 composer.lock + config.platform。哪怕所有人用了同一镜像，如果 composer.lock 没提交、或 platform.php 版本没对齐，多机安装结果依然可能不一致。
