必须显式在repositories数组首项写{"packagist.org": false}，否则Composer仍会请求官方源；正确结构为[{"packagist.org": false}, {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}]，且需清理缓存并确保有有效替代源。
composer.json里禁用packagist.org必须显式写{"packagist.org": false}
不是删掉repositories字段，也不是设成空数组——Composer会把packagist.org当作一个特殊源名，必须在repositories数组里用键值对形式明确声明为false，否则它仍会参与请求，甚至导致“Loading composer repositories”卡住或404。
常见错误写法：
-
"repositories": []—— 空数组，等价于没配，自动启用packagist.org -
"repositories": {"packagist.org": false}—— 对象格式，但Composer 2.x只认数组，会直接忽略整个字段 -
"repositories": [{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}]—— 没提packagist.org，默认源照常工作
正确结构（顺序不能颠倒）：
"repositories": [
{"packagist.org": false},
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}
]
为什么composer config repo.packagist不能禁用默认源
这条命令本质是往repositories里写一个叫packagist的条目，不是开关。它不会自动加{"packagist.org": false}，也不会覆盖已有结构。执行后如果composer.json里原本就有repositories数组，还可能被意外覆盖，丢掉私有源。
更危险的是：如果项目里repositories已经是对象（如{"my-private": {...}}），该命令会把它转成数组，破坏原有配置。
所以禁用默认源这件事，不能靠composer config命令一键完成，必须手动编辑composer.json，确保{"packagist.org": false}作为第一项出现在repositories数组里。
禁用后仍走packagist.org？检查环境变量和缓存
即使composer.json写对了，也有可能没生效，原因通常有两个：
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
COMPOSER_REPO_PACKAGIST环境变量被设为国内镜像URL，会强制覆盖所有配置 - 缓存里还存着旧的
packages.json元数据，Composer直接读缓存，根本没发请求
验证是否真禁用成功：
- 运行
composer diagnose -v，末尾显示Repo packagist.org: https://packagist.org说明没禁掉；显示disabled才对 - 运行
composer install -vvv | grep -i 'GET https'（Linux/macOS），看有没有packagist.org的请求发出
清缓存命令：composer clear-cache，别跳过这步。
禁用默认源后composer install报错找不到包？
这是最典型的连锁反应：禁用了packagist.org，但没同时配置可用的替代源，Composer就真的一无所知了。
必须保证repositories数组里除了{"packagist.org": false}，至少还有一个有效的composer类型源，比如：
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}
注意这个URL末尾不能带/（和全局配置要求相反），否则会拼出/packages.json变成/composer/packages.json，返回404。
另外，如果项目依赖了私有包（比如Git仓库或Satis服务），它们必须放在{"packagist.org": false}之后、镜像源之前，因为Composer按数组顺序查找，私有源优先级高于镜像源。
