根本原因是Composer按repositories数组倒序匹配且未设priority，导致私有源被跳过；应将私有源置顶或显式设高priority（如100），官方源置底并设priority为0，同时用composer config --list验证实际生效顺序。
composer.json里repositories配置顺序错导致私有包拉不到
现象是执行composer install时提示Package vendor/private-package not found，但确认该包确实在私有仓库存在。根本原因不是网络或权限问题，而是Composer解析repositories数组时默认按声明顺序倒序匹配——它先查最后一个仓库，再往前推。如果你把官方源写在前面、私有源写在后面，而私有源又没设priority，Composer可能根本不会去私有源查包。
实操建议：
- 显式为每个仓库设置
priority字段，数值越大优先级越高，比如私有源设"priority": 100，官方源设"priority": 50 - 避免把
packagist.org作为第一个仓库硬编码进去；改用{"type": "composer", "url": "https://packagist.org", "priority": 0}并明确置底 - 运行
composer config --list | grep repositories验证当前生效的仓库列表和顺序
镜像源配置后仍走官方域名：repo.packagist被覆盖或拼写错误
明明执行了composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，但composer install日志里还是出现Downloading https://packagist.org/packages.json。这通常是因为配置项名写错了——正确键名是repo.packagist，不是repos.packagist或repository.packagist，少个r或多一个s都会失效。
实操建议：
- 用
composer config -g --list完整输出全局配置，搜索repo\.packagist确认是否存在且值正确 - 检查项目级配置是否覆盖了全局配置：
composer config --list（不带-g）会显示当前目录下的配置，优先级更高 - 如果用过
composer config --unset repos.packagist，注意这里是repos复数形式，和设置时的repo单数不一致，会导致残留配置干扰
私有仓库认证失败但报错不明确：token或basic auth未生效
私有Packagist仓库需要Bearer Token或HTTP Basic Auth，但配置完auth.json后依然返回401 Unauthorized，且错误信息只说“Could not fetch”，没提具体哪一步失败。这是因为Composer默认不向私有源透传认证凭据，除非你在repositories中显式声明"options"启用。
实操建议：
-
auth.json必须放在用户主目录（~/.composer/auth.json）或项目根目录，且权限为600（chmod 600 ~/.composer/auth.json） - 在
composer.json的对应仓库配置里加"options": {"http": {"header": ["Authorization: Bearer YOUR_TOKEN"]}}，或使用"options": {"http": {"username": "xxx", "password": "yyy"}} - 测试认证是否通：手动用
curl -H "Authorization: Bearer xxx" https://repo.example.com/packages.json看能否拿到JSON响应
仓库配置引发依赖解析冲突：同一包在多个源中版本不一致
项目里同时配了公司内网私有源和阿里云镜像，结果composer update报错Your requirements could not be resolved to an installable set of packages。这不是网络问题，而是两个源对同一个包（比如monolog/monolog）发布的版本号不一致：私有源同步滞后，只到2.8.0，而镜像源已有3.0.0，Composer解析器发现约束无法同时满足就直接退出。
实操建议：
- 用
composer show monolog/monolog --all查看所有可用版本及其来源，确认是否来自不同仓库 - 临时禁用某个仓库测试：
composer config --unset repositories.0（按索引删），再重试update - 生产环境建议统一由私有源代理所有流量，镜像源仅作备份，不要混用；如必须混用，确保私有源开启自动同步且频率高于镜像源
composer config --list开始，一层层剥开，而不是盯着composer.lock猜。 
