404错误主因是请求无效URL，需检查镜像地址末尾斜杠、repo.packagist配置是否生效（必须输出完整JSON）、curl -I验证状态码、删除vendor和composer.lock后执行install，私有包须置顶repositories并确保认证匹配。
404 错误几乎从不表示包真的“不存在”，而是 Composer 正在请求一个根本无效的 URL——最常见的是镜像地址缺末尾 /、配置键名写错、composer.lock 里硬编码了已下线的旧路径，或私有包被错误地扔进镜像源去查。
检查 repo.packagist 配置是否真正生效
Composer 2.2+ 只认 repo.packagist 这个精确键名，漏掉 -g、写成 repos.packagist 或中间少了个 composer 类型参数，都会静默 fallback 到 https://packagist.org。
运行 composer config -g repo.packagist，必须看到类似这样的输出：
{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}
如果返回 null、空行、https://packagist.org 或报错，说明配置没写进去。常见原因包括：
- 命令漏了
composer类型参数，比如写成了composer config -g repo.packagist https://...（缺中间的composer） - URL 少了末尾
/，如https://mirrors.aliyun.com/composer→ 拼接/p2/后变成非法路径 - 用 root 用户配了，但实际以 www-data 或其他用户执行命令，读不到全局配置
用 curl -I 直接测镜像地址是否活
别信文档或截图，直接发 HTTP HEAD 请求验证。镜像是否可用，只看两个指标：状态码和响应头。
执行：
curl -I https://mirrors.aliyun.com/composer/packages.json
必须秒回 HTTP/2 200；任何 404、301、超时、HTML 响应体（比如 “Not Found” 页面），都说明该镜像不可用或被拦截。
再试一个具体包路径，确认同步是否延迟：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
curl -I https://mirrors.tuna.tsinghua.edu.cn/composer/p/monolog/monolog.json
看 Last-Modified 时间是否在最近 30 分钟内。如果返回 404，说明这个包当前确实不在该镜像中——不是你本地问题，是镜像还没同步。
删 vendor/ 和 composer.lock 才算真正“换源”
composer clear-cache 只清 ZIP 包和部分 JSON 缓存，不影响 composer.lock 里硬编码的 provider 地址。一旦 lock 文件里存着 https://packagist.org/p2/monolog/monolog.json 这类已失效路径，换镜像也白搭。
必须同时做两件事：
- 删除项目根目录下的
vendor/目录和composer.lock文件（尤其不能只删 vendor） - 执行
composer install，不是composer update—— 后者会复用 lock 里的坏元数据
如果项目 composer.json 里定义了 repositories 字段（哪怕只是空数组），它会完全屏蔽全局 repo.packagist 配置。临时验证可加 --no-plugins --no-scripts，或跑 composer install -vvv 看第一行下载地址是否命中你的镜像域名。
私有包 404 的本质是顺序和类型错配
镜像源只代理公开包，不转发私有请求。如果你把阿里云镜像写在 repositories 数组前面，Composer 就会先拿私有包名去镜像查——镜像当然没有，直接 404。
正确做法是：
- 把私有源 URL 放在
repositories数组首位，镜像放后面 - 确保私有源 URL 返回合法的
packages.json，且Content-Type: application/json - 认证信息必须严格匹配：比如
repositories里写的是https://myrepo.internal，那auth.json里就得是http-basic.myrepo.internal，协议、端口、大小写全要一致 - CI 环境中不要依赖本地
~/.composer/auth.json，要用 secrets 注入COMPOSER_AUTH环境变量
最关键的细节：镜像和私有源是并列关系，不是代理层。Composer 不会“自动识别哪些包该走哪个源”，它只按 repositories 顺序逐个尝试，直到某个源声明能提供该包。
