composer多仓库配置核心在于repositories数组顺序（优先级）、type与url严格匹配、显式禁用packagist.org；必须用索引数组、正确设type、分离认证至auth.json，并更新lock文件。
Composer 多仓库配置不是“加几个 URL 就完事”，核心在于 repositories 数组的顺序、类型和默认源的显式控制——配错顺序或漏关 packagist.org，包就可能从错误源拉取，甚至静默失败。
repositories 必须是数组，且顺序 = 优先级
Composer 按 repositories 数组从上到下的顺序查找包，命中第一个匹配项即停止，**不会 fallback 到后续仓库**。这不是容错机制，而是硬性短路逻辑。
- 要把最想优先使用的私有源（比如临时 fork 或高优先级内部组件）放在数组最前面
- 多个同名包（如
acme/logger）出现在不同仓库时，只有数组中靠前的那个会被采用 - 写成对象（键值对）而非索引数组会导致只生效最后一个——必须用方括号
[]，每个元素是独立的{"type": "...", "url": "..."} - 示例有效结构：
"repositories": [ {"type": "vcs", "url": "https://git.example.com/fork/laravel.git"}, {"type": "composer", "url": "https://packages.company.com/"}, {"type": "vcs", "url": "https://git.example.com/team/utils.git"} ]
type 选错，URL 再对也拉不到包
type 决定 Composer 怎么解析 url：它不是通用地址栏，而是协议+行为绑定。填错类型，composer install 可能不报错但始终找不到包。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
type: "composer"→ 对应一个提供packages.json的 HTTP 服务（如 Satis、Private Packagist、阿里云镜像），Composer 会发 HTTP 请求查索引 -
type: "vcs"→ 对应 Git/SVN/Hg 仓库地址（如https://gitlab.com/org/pkg.git或git@gitlab.com:org/pkg.git），Composer 会 clone 并读取其中的composer.json -
type: "package"→ 手动声明单个包的版本与 dist 信息，适合闭源二进制分发，极少用于多仓库场景 - 常见错误：把私有 Packagist 的 URL 配成
vcs类型，结果 Composer 尝试git clone一个 HTML 页面，报Could not find package
packagist.org 不是“自动退场”，必须显式禁用
即使你只写了私有源，只要没关掉 packagist.org，它就会作为隐式兜底源排在所有显式 repositories 之后——这意味着同名包可能被官方旧版覆盖，或者认证失败后仍尝试访问公开源。
- 禁用方式唯一可靠的是在
composer.json中加"packagist.org": false（注意：不是写在repositories数组里，而是同级字段） - 错误写法：
{"type": "composer", "url": "https://packagist.org"}—— 这会触发冲突错误Cannot use package packagist as it is used as a repository - 正确结构示例：
{ "repositories": [ {"type": "composer", "url": "https://packages.company.com/"}, {"type": "vcs", "url": "https://git.example.com/internal.git"} ], "packagist.org": false, "require": { ... } } - 不删
composer.lock或不跑composer update --lock，改了repositories也不会生效——因为 lock 文件锁死了源信息
认证信息必须分离到 auth.json，且路径要对
Composer 不在 composer.json 里存凭据。auth.json 是唯一合法位置，且必须放对地方，否则 401 报错卡住。
- VCS 类型（Git）走系统级认证：SSH 方式依赖当前用户
~/.ssh/id_rsa；HTTPS 方式需在 URL 中嵌入 token（如https://oauth2:TOKEN@gitlab.com/...）或靠auth.json的http-basic配置 - Composer 类型仓库（如私有 Packagist）必须用
auth.json的http-basic段落，例如：{ "http-basic": { "packages.company.com": { "username": "api", "password": "abc123..." } } } -
auth.json应放在项目根目录（优先）或全局~/.composer/auth.json；绝不能提交到 Git，建议加进.gitignore - 验证是否生效：运行
composer update -vvv，看日志里是否出现Reading packages.json from https://packages.company.com/及后续 200 响应
真正麻烦的从来不是加几个仓库，而是当 composer show vendor/package 显示来源和你预期不一致时，得一层层确认：顺序对不对、type 对不对、packagist.org 关没关、auth.json 在不在位、composer.lock 删没删——这些点任何一个断掉，都会让多仓库变成“看起来配了，其实没用”。
