Composer能装上私有包的前提是它被正确识别为可安装对象：需在项目级composer.json顶层声明repositories（type为"vcs"或"composer"）、URL须为可克隆地址、包名大小写与分隔符必须完全匹配，且私有包自身composer.json需正确定义autoload规则。
直接说结论：composer install 能装上私有包，前提是它已经“被看见”——不是网络通了就行，而是 Composer 必须在解析依赖时，明确知道该去哪找这个包、用什么协议认证、按什么规则加载类。
为什么 composer install 一直卡在 “Could not find package”
这不是网络超时，也不是权限拒绝，而是 Composer 根本没把你的私有包当“合法候选对象”处理。常见原因包括：
-
repositories没写在项目级composer.json的顶层，比如塞进了config或extra字段里，等于白写 -
type写成了"git"或漏掉，必须是"vcs"（Git 仓库）或"composer"（Satis/Private Packagist） -
url是网页地址（如https://gitlab.example.com/group/repo），不是可git clone的地址（应为https://gitlab.example.com/group/repo.git） - 私有包自己的
composer.json里name是"MyOrg/utils"，但你在主项目的require里写了"myorg/utils"—— 大小写和分隔符必须逐字符一致
Git 私有仓库场景下，auth.json 怎么配才生效
Composer 不会读取系统 Git 凭据或 SSH agent，它只认 auth.json 文件，且路径、结构、权限三者缺一不可：
- 文件必须放在项目根目录下（或全局
~/.composer/auth.json，但项目级优先） - 权限必须是
600：chmod 600 auth.json，否则 Composer 直接忽略 - 结构必须严格匹配域名：若仓库 URL 是
https://gitlab.example.com/group/repo.git，则auth.json中的 key 必须是"gitlab.example.com"，不能带端口、路径或协议前缀 - Token 类型要对得上：GitLab 用
glpat-开头的 Personal Access Token，填在http-basic下的password字段；OAuth2 场景才用username: oauth2
验证是否生效：加 -v 参数运行 composer install -v，日志中应出现 Reading composer.json of vendor/package 和 GET https://gitlab.example.com/api/v4/projects/... 请求行。
装进 vendor 了，但 new Class() 还是报 Class not found
下载成功 ≠ 自动加载成功。Composer 的 autoload 映射只在安装或执行 composer dump-autoload 时生成，且完全依赖私有包自己声明的 autoload 段：
- 私有包的
composer.json必须有autoload，例如："psr-4": {"MyOrg\Utils\": "src/"}；光靠files不行，除非你手动require -
psr-4的路径是相对于私有包根目录的，不是主项目 —— 别写成"src/MyOrg/Utils/"，那是错的 - 改过私有包的
autoload规则后，必须在主项目里运行composer dump-autoload，否则vendor/composer/autoload_psr4.php不更新 - 如果私有包用了
pathrepository 类型，dump-autoload后还要确认 symlink 是否正常，Windows 上可能需要管理员权限
Satis 私有源配置最容易漏掉的关键项
用 Satis 时，composer install 静默跳过私有包，90% 是因为这两点没做：
-
"packagist.org": false必须作为repositories数组里的一个独立对象，不能嵌在 Satis 对象内部，也不能写成"packagist": false - Satis 的
packages.json真的包含你要的包名和版本：用curl -s https://satis.your-company.com/packages.json | jq '.packages["vendor/package"]'验证返回是否非空；Satis 是静态索引，不会动态拉取未声明的包 - 如果混用镜像（如阿里云），Satis 源必须排在镜像前面，否则私有包根本不会被扫描
复杂点在于：Satis 构建时是否已拉取最新代码、require-all 是否开启、archive 配置是否导致 dist 包未生成 —— 这些问题不会在 composer install 日志里报错，只会表现为“找不到包”。
