根本原因是未显式禁用packagist.org，默认源优先导致私有包不被匹配；必须在repositories数组中添加{"packagist.org": false}，且URL末尾斜杠不可省略，仓库类型须为composer。
私有仓库必须声明在 repositories 数组首位，且显式禁用 packagist.org，否则私有包永远不被匹配。
为什么 composer require vendor/private-package 总是报错“Could not find package”
根本不是包名写错或 Git 地址不可达，而是 Composer 默认仍会先查 packagist.org，私有仓库只是 fallback。哪怕你配置了 Artifactory 或 Satis 地址，只要没关掉默认源，Composer 就不会去私有仓库里找包。
-
"packagist.org": false这一行必须直接写在composer.json的根级，不能嵌套在repositories里 - Artifactory URL 末尾的斜杠
/不可省略，少一个就 404 - Virtual 仓库后端必须至少挂载一个
type: composer的本地或远程仓库，Generic 类型不识别 - 若用 Satis，需确认
packages.json能被curl -I https://satis.example.com/packages.json直接返回 200
如何确保私有包不被公共同名包覆盖
Composer 2.x 默认启用 canonical 行为：按 repositories 声明顺序查找，一旦命中即停止；但这个机制只在你真正禁用 packagist.org 后才生效。否则，同名包可能从 Packagist 拿到高版本，导致接口不兼容。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 把私有仓库配置放在
repositories数组第一个位置 - 避免使用
"canonical": false——它会让 Composer 继续往后查，破坏隔离性 - 对核心私有包（如
acme/payment）加"only": ["acme/*"]过滤，防止误走其他源 - CI 流水线中强制运行
composer validate --strict，校验repositories配置完整性
私有包发布与更新的最小安全闭环
光能装上不算完，关键是要控制谁发布、谁可见、谁更新。Satis 或 PrivatePackagist 都不能自动解决权限问题，必须靠流程卡点。
立即学习“PHP免费学习笔记（深入）”；
- Git 仓库设为 private，分支保护开启，
main分支仅允许合并 PR 并通过 CI 构建验证 - Satis 构建脚本必须跑在受信环境，且每次构建前执行
git fetch --all && git reset --hard origin/main，避免本地脏数据污染镜像 - 私有包的
composer.json中禁止出现"minimum-stability": "dev"，所有require必须锁定次要版本（如"monolog/monolog": "2.4.*"） - 项目级
composer.json的config区块启用"preferred-install": "dist"和"optimize-autoloader": true，防止开发机意外拉取 dev 分支源码
最容易被忽略的是：私有仓库 URL 的协议和路径必须与实际服务端响应头完全一致。Nginx 返回 Content-Type: application/json 但漏了 Access-Control-Allow-Origin，某些 CI 环境会静默失败；Satis 生成的 dist 包若用了 prefix-url，CDN 缓存未刷新，就会装上旧版 ZIP —— 这些都不报错，只会在运行时崩。
