Composer报“Authorization failed”并非镜像问题，而是因误配http-basic认证、COMPOSER_AUTH环境变量格式错误或私有源URL被错误塞入repositories数组，导致对公开镜像发起带无效凭据的请求而返回401。
Composer 中文镜像本身不校验凭证，所谓“授权失败”基本是误判——真正出问题的是你本地配置了私有仓库、启用了 HTTP Basic Auth，或环境变量里混入了错误的 COMPOSER_AUTH 值。
为什么 composer install 报 “Authorization failed” 却没动私有包？
镜像源（如阿里云、腾讯云）全部公开可访问，不需要任何 token 或密码。报这个错，说明 Composer 在请求某个 URL 时被服务端返回了 401，而那个 URL 很可能不是镜像地址，而是：
- 项目
composer.json里手动加了私有"repositories"，但没配auth或凭据过期 - 全局或项目级配置了
http-basic，指向了一个已失效的私仓域名（比如旧 GitLab 地址） -
COMPOSER_AUTH环境变量被设成无效 JSON，比如少了个引号或多了个逗号，导致 Composer 解析后尝试用空凭据去所有源上认证
查 http-basic 配置是否污染了镜像请求
Composer 会把 http-basic 配置按域名匹配，一旦你给 packagist.org 或镜像域名（如 mirrors.aliyun.com）配了凭据，它就会在每次请求时带上 Authorization: Basic xxx —— 而镜像站不认这个头，直接 401。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查全局配置：
composer config -g http-basic，如果输出里包含mirrors.aliyun.com或packagist.org，立刻删掉：composer config --global --unset http-basic.mirrors.aliyun.com - 查项目级配置：
composer config http-basic，同理清理 - 确认没漏掉子域名：比如你配了
gitlab.example.com，但实际请求的是api.gitlab.example.com，也得单独配，否则 fallback 时可能触发认证失败
COMPOSER_AUTH 环境变量写错一个字符就全崩
这个变量必须是合法 JSON 字符串，且只对私有源生效。一旦格式错误（比如用单引号、缺逗号、多斜杠），Composer 就会静默解析失败，然后对所有请求都发空凭据，导致镜像站返回 401。
- 检查是否设置：
echo $COMPOSER_AUTH - 合法值长这样：
{"gitlab.example.com": {"username": "user", "password": "pass"}} - 常见错误：用
'包裹、含注释、结尾多逗号、密码里有未转义的/或$ - 临时禁用验证：
COMPOSER_AUTH="" composer install -vvv 2>&1 | head -n 20，如果不再报 401，就是它的问题
私有仓库配置和镜像共存时的真实优先级
镜像源（repositories.packagist.org）只接管 packagist.org 的流量；私有源走独立域名，两者互不干扰。但如果你在 repositories 里写了 "type": "composer" 且 URL 指向镜像站（比如 https://mirrors.aliyun.com/composer/），Composer 会把它当私仓处理，强制走 http-basic 认证逻辑。
- 别把镜像 URL 塞进项目级
repositories数组——这是最常踩的坑。镜像必须走全局repositories.packagist.org或repo.packagist（旧版） - 私有源要用独立域名，且确保
http-basic只配在这个域名上，不要泛配 - 验证当前生效的源列表：
composer config --list | grep repositories，确认没有重复或冲突定义
真正卡住的从来不是镜像本身，而是你无意中给它套上了私仓的枷锁。删掉多余的 http-basic、清掉畸形的 COMPOSER_AUTH、确保镜像不被塞进项目级 repositories，问题就消失了——剩下的 401，基本只剩私有仓库真凭据失效这一种可能。
