composer按repositories数组逆序查找包，即从最后一个仓库开始匹配；私有仓库须置于数组末尾才能优先生效，packagist.org应放在前面作为兜底，否则默认隐式启用会导致私有包被跳过。
Composer 会按 repositories 数组的**逆序**查找包——也就是从最后一个仓库开始往前试，直到找到匹配的包为止。
为什么 package 总是从 packagist.org 装，而不是我的私有仓库？
这是最常见误解：以为写在 repositories 数组前面的仓库就“优先”。实际恰恰相反。Composer 在解析 require 时，会遍历 repositories 列表，但**从末尾往开头查**；一旦某个仓库返回了包的元数据（哪怕只是 404 以外的响应），就停止搜索，不再继续往前看。
- 如果你把 packagist.org 放在数组最后（默认行为），它永远兜底，所有没被前面仓库“截胡”的包都会落到它头上
- 私有仓库必须放在 packagist.org 之后才能生效——等等，不对：要让它被优先选中，得放在 packagist.org 之前，但数组顺序要倒过来理解
- 正确做法：把私有仓库写在
repositories数组的末尾，packagist.org（或{"type": "composer", "url": "https://packagist.org"}）写在开头或中间
示例（composer.json 片段）：
{
"repositories": [
{"type": "composer", "url": "https://packagist.org"},
{"type": "package", "package": {...}},
{"type": "composer", "url": "https://my-company.example.com"}
]
}
这样，https://my-company.example.com 是最后一个，会被最先尝试。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
使用 packagist.org 作为 fallback 时的典型陷阱
很多人直接删掉 packagist.org 的声明，以为“不写就不用它”，结果是：Composer 默认仍会隐式启用 packagist.org（除非显式禁用）。这会导致私有包被跳过——因为 Composer 先去 packagist.org 查了一圈，没找到才轮到你的仓库，但此时可能已报错退出。
- 必须显式声明 packagist.org 并放在
repositories数组靠前位置，才能确保它排在私有仓库之后被查询 - 更稳妥的做法是：用
{"packagist.org": false}关闭默认源，再手动加回带位置控制的声明 - 注意
"type": "composer"仓库必须提供符合 Composer 协议的packages.json，否则会静默失败或报Could not parse version constraint
repositories 中不同类型仓库的兼容性问题
package、vcs、composer 三类仓库混合使用时，顺序逻辑一致，但行为差异很大：
-
"type": "package"是静态定义，只对明确列出的name+version生效，不支持通配或自动发现 -
"type": "vcs"（如 git）每次 install/update 都要走网络探测，慢且容易因分支名变更或权限问题中断 -
"type": "composer"依赖远程packages.json的完整性和缓存策略；若该文件没及时更新notify-batch，新 tag 可能查不到 - 混用时，Composer 不会合并同名包的不同版本，而是“找到即停”——哪怕私有仓库里只有 v1.0.0，而 packagist.org 有 v2.0.0，只要私有仓库响应了请求，就不会再查 packagist.org
调试仓库查找过程的实用命令
光看配置容易误判，用命令验证真实行为：
-
composer config --list | grep repositories确认当前生效的仓库列表（含 vendor 自动注入的） -
composer show -a vendor/package显示包来源，输出里source行会写明来自哪个repositoryURL -
composer diagnose会检查仓库配置是否可访问，但不会告诉你搜索顺序是否符合预期 - 最直接的办法：
COMPOSER_VERBOSE=1 composer require vendor/package:dev-main，观察日志里哪条GET请求先返回了 200
真正麻烦的不是配置顺序，而是团队成员本地 composer.json 和全局 config.json 的仓库叠加；不同环境的 repositories 实际是合并后的扁平数组，顺序更难预料。
