答案是小众类库未在Packagist注册或长期无更新，导致镜像主动剔除；需通过GitHub API直装或临时切官方源查元数据，同时必须保留signature和secure-http验证。
为什么小众类库在中文镜像下容易“找不到”
不是镜像没同步，而是小众类库往往没在 Packagist 官方注册，或注册后长期无更新，导致国内镜像站主动剔除——阿里云、腾讯云等镜像只同步近 6 个月有活跃元数据的包。你执行 composer require vendor/obscure-lib 报 could not find package，大概率是它根本不在镜像的 packages.json 里。
- 镜像不托管 GitHub 原始仓库，只缓存 Packagist 元数据 + ZIP 包分发链接；没被 Packagist 收录，镜像就“看不见”
- 小众库作者若只提交了
composer.json但未点 Packagist 的 “Update” 按钮，镜像不会自动拉取 - 有些库用私有命名空间（如
myorg/private-tool），默认被镜像策略过滤，避免污染公共索引
绕过镜像元数据限制的两种实操路径
核心思路：不让 Composer 去镜像查 packages.json，而是直接告诉它“这个包就在 GitHub 上，按 Git 地址拉”。但必须保留签名验证和 HTTPS 安全链路，不能裸奔。
- 方法一（推荐）：用
composer require指定 Git URL + 分支/Tag，同时强制走 HTTPS 和校验
执行：composer require "vendor/obscure-lib:dev-main" --repository-url=https://api.github.com/repos/vendor/obscure-lib
注意：--repository-url必须是 GitHub API 地址（不是网页地址），且 Composer 会自动启用secure-http校验 - 方法二：临时禁用镜像元数据，但保留 ZIP 下载加速
先清掉当前镜像配置：composer config -g repo.packagist（删掉全局镜像）
再手动加一个仅代理 ZIP 的源：composer config -g repos.packagist.type composer&&composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/
这样元数据走官方（能查到小众库），ZIP 文件仍从阿里云 CDN 下载（不慢）
如何确认小众库是否真被镜像收录
别猜，直接查镜像的原始元数据接口。阿里云、腾讯云都提供公开 packages.json 索引，支持全文搜索。
- 用 curl 查阿里云镜像是否含该包：
curl -s "https://mirrors.aliyun.com/composer/p2/vendor/obscure-lib.json" | head -20
返回 HTTP 200 + JSON 内容，说明已收录；404 则未同步 - 查 Packagist 官方是否注册：
curl -s "https://packagist.org/p2/vendor/obscure-lib.json" | head -20
如果官方有、镜像没有，说明是镜像同步延迟或策略过滤；如果官方都没有，那只能走 Git 方式 - 注意：所有查询必须用
p2/路径前缀，这是 Composer 2.x 的元数据协议，旧版packages.json不再维护
安全底线：绝不能关掉 signature 验证
小众库更需防投毒——作者仓库若被黑，恶意提交可能混进主分支。Composer 的 signature 字段是唯一能拦截这种风险的机制，但它只在官方源响应中存在。
立即学习“PHP免费学习笔记（深入）”；
- 执行前务必确认：
composer config -g security.signature输出为true；composer config -g secure-http也为true - 如果用了
--repository-url=https://api.github.com/...，Composer 会自动 fallback 到官方签名验证流程，只要 GitHub API 返回带"signature"字段的响应（v3 API 默认支持） - 绝对不要执行
composer config -g secure-http false或用http://协议——小众库本就信任链薄弱，再关掉 HTTPS 和签名，等于裸奔
curl 查证，比事后 debug 一个被篡改的 vendor/ 安全得多。 
