Composer本身不支持私有仓库的自动构建触发器，需依赖GitHub Actions等CI工具监听Git事件后执行composer install；私有仓库认证须通过环境变量、全局配置或SSH密钥注入，不可写入composer.json；下游项目不会自动更新，需通过Webhook通知或定时检查实现。
composer.json 里不支持私有仓库的“自动构建触发器”——Composer 本身没有构建能力，也不监听 Git 推送、Tag 创建等事件。所谓“自动构建”，实际是靠外部系统（如 GitHub Actions、GitLab CI、Jenkins）在代码变更后调用 Composer 命令完成的。你真正要配的，是触发条件 + 构建动作 + 凭据透传这三块。
私有仓库的认证必须提前配置，否则 install/update 直接失败
Composer 访问私有仓库（如 GitLab 私有 Group、GitHub Private Repo、自建 Satis）时，若未预置凭据，composer install 会卡在交互式密码输入或直接报 401 Unauthorized。常见错误现象包括：
Failed to download vendor/private-package from source: Failed to execute git clone --no-checkout 'https://gitlab.example.com/group/pkg.git' ... fatal: could not read Username for 'https://gitlab.example.com': No such device or address-
Could not fetch https://api.github.com/repos/owner/private-pkg, enter your GitHub credentials...（CI 环境无交互终端，必然失败）
解决方式不是在 composer.json 里写密码，而是通过以下任一方式注入凭据：
- 在 CI 配置中设置环境变量
GITHUB_TOKEN或COMPOSER_AUTH，值为 JSON 字符串：{"github-oauth":{"github.com":"xxx..."}} - 运行
composer config -g github-oauth.github.com <token>（仅限可信 CI 节点，避免 token 泄露） - 使用 SSH URL 替代 HTTPS（如
git@gitlab.example.com:group/pkg.git），并确保 CI 机器已配置对应 SSH key
CI 流水线里怎么触发 Composer 构建才可靠
“自动构建触发器”的实质是 CI 工具监听 Git 事件后执行 Composer 命令。关键不是“怎么写 composer.json”，而是“在哪、何时、以什么参数跑 composer install”。典型踩坑点：
- 漏掉
--no-interaction：CI 环境无 TTY，不加该参数会挂起等待输入 - 误用
--dev：生产部署应加--no-dev，否则可能装入测试工具导致体积膨胀或安全风险 - 忽略
--no-scripts：私有包若含post-install-cmd，可能执行本地路径命令（如chmod）而失败；生产环境建议显式禁用，改由 CI 步骤统一管控 - 缓存
vendor/不生效：某些 CI 平台（如 GitHub Actions）需手动配置 cache 步骤，否则每次重装依赖，拖慢构建
推荐最小可行 CI 配置片段（GitHub Actions）：
steps:
- uses: actions/checkout@v4
- name: Cache Composer dependencies
uses: actions/cache@v4
with:
path: vendor
key: ${{ runner.os }}-composer-${{ hashFiles('**/composer.lock') }}
- name: Install dependencies
run: composer install --no-interaction --no-dev --no-scripts
env:
COMPOSER_AUTH: ${{ secrets.COMPOSER_AUTH }}私有包发布后如何让下游项目自动更新
Composer 没有“Webhook 自动拉取”机制。下游项目不会因为私有包发了新 Tag 就自动升级——它只会在你主动执行 composer update vendor/private-package 或 composer update 时，根据 composer.lock 和仓库元数据决定是否更新。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
所以“自动更新”的实现逻辑是：
- 私有包发布新版本（如打 v1.2.0 Tag）后，触发一个“通知下游”的流程（例如发 HTTP 请求到内部 webhook 服务）
- 该服务遍历所有已知下游项目仓库，发起 PR 或直接提交：更新其
composer.json中该包的 version 约束（如从"^1.1"改为"^1.2"），再composer update vendor/private-package --lock更新 lock 文件 - 或者更轻量：下游项目在 CI 中定期（如每天凌晨）执行
composer outdated --direct检查，发现可更新就自动 PR
注意：composer update 必须在有写权限的环境下运行（如 CI 的 checkout 目录），且不能跳过 composer.lock 更新，否则下游无法复现构建结果。
为什么 post-autoload-dump 不适合做构建后验证
有人想在私有包里定义 post-autoload-dump 脚本，用于生成代理类或校验签名——这在本地开发可行，但在 CI 构建私有包自身时，该事件根本不会触发。
原因很直接：post-autoload-dump 是在 vendor/autoload.php 被写入后触发，而私有包作为「被安装者」，它的 scripts 是在「安装它的项目」中执行的。也就是说，你打包私有包时，它的 composer.json 里的 post-autoload-dump 对自己无效。
真正需要构建时验证的逻辑（如 PHPStan 类型检查、PHP-CS-Fixer 格式化），必须放在私有包自己的 CI 流水线里，用独立步骤执行，而不是依赖 Composer 脚本事件。
