Composer下载慢的根本原因是默认连接境外packagist.org导致DNS解析慢、TLS握手卡、首字节延迟高甚至超时；必须全局配置国内镜像源，如执行composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，且URL末尾斜杠、type值缺一不可。
私有仓库不是为了“替代Packagist”，而是为了接管包发现逻辑
根本原因不是官方源慢或不可靠，而是Composer默认行为会把packagist.org当兜底源——哪怕你加了私有URL，只要没显式禁用，它就永远只在私有源返回404时才 fallback。而私有包根本不会出现在官方源里，结果就是Could not find package vendor/name，哪怕该包100%存在、URL可curl通。
必须在composer.json的repositories数组末尾加一个独立对象：{"packagist.org": false}。这不是配置项，是硬性开关；漏掉这一行，所有私有配置都白搭。
-
repositories数组顺序即真实优先级：从上到下匹配，第一个返回200且含有效JSON的源就锁定使用，后续全跳过 - 私有仓库（
"type": "composer"）必须放在数组最前面，否则同名包会被镜像覆盖 - URL末尾斜杠
/不能省：写成https://artifactory.example.com/artifactory/api/composer/my-virtual-repo会404，正确是https://artifactory.example.com/artifactory/api/composer/my-virtual-repo/ - Artifactory上必须创建原生
composer类型仓库，Generic或Remote（非composer协议）仓库直接报Invalid repository type
不建私有源，跨团队复用就是口头禅
没有私有仓库时，“复用SDK”靠复制粘贴或Git Submodule，结果是：谁改谁知道、没人维护、版本混乱、新人三周跑不起来。有了私有源，composer require mycorp/sdk-core一行搞定，版本号、CHANGELOG、兼容性策略全部可追溯。
这背后不是技术问题，是知识沉淀方式的转变：把组织里隐性踩坑经验，变成显性的、带语义化版本号的二进制资产。一次修复，全公司受益；一次升级，CI自动验证是否破坏下游。
- 组件边界识别是第一道坎：一个包至少被3个项目实际依赖，才值得进私有仓库
- 虚拟仓库必须聚合至少一个
type: composer的后端仓库，否则composer install直接失败 - 若用Satis，生成的是静态文件，Nginx必须能直出
packages.json且返回200，403/404会导致Composer静默fallback
安全不是默认开启的，是每一步都要手动加固
私有仓库不等于安全。它只是把风险从公网挪到内网边界，而多数团队在这条边界上留着敞开的门：Nginx开着autoindex on、COMPOSER_AUTH硬编码在CI脚本里、packages.json没GPG签名——攻击者就能篡改元数据，引导安装恶意包。
上线前必须验证三道防线：
- Satis构建时加
--sign参数，生成带GPG签名的packages.json - 服务端强制HTTPS，Nginx中禁用目录浏览：
location / { try_files $uri =404; } - 客户端启用元数据验证：
composer config -g repo.packagist.org.allow_ssl_downgrade false
CI中注入COMPOSER_AUTH必须是单行JSON，键名全小写，建议用jq生成，别手拼——一个逗号错，整个构建静默失败。
项目级配置比全局配置更可靠
团队协作或CI/CD场景下，全局配置（composer config -g）极易被覆盖。比如宝塔面板用www用户执行，而你配的是root的config；Docker构建时又可能挂载了空的~/.composer目录。
更稳的做法是：在项目composer.json里直接写repositories，拉代码即生效。命令也简单：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/
注意不加-g，它会自动追加到repositories数组，不覆盖已有私有源。但务必同步加上"packagist.org": false，否则还是走官方源。
真正容易被忽略的点是：改完配置后，必须删掉composer.lock和vendor目录再重装，否则旧锁文件会缓存旧解析路径，让你误以为配置没生效。
