composer默认源可配置：全局用composer config -g repo.packagist，项目级用composer config repo.packagist；换源需严格写全repo.packagist、composer类型和https无尾斜杠url；禁用官方源必须在repositories数组中显式设{"packagist.org": false}，否则仍会fallback。
Composer 默认只认 packagist.org，但这个“默认”不是写死在代码里不可改的——它是一套可覆盖的配置逻辑：只要没显式禁用或覆盖，就自动启用。所以所谓“配置默认源”，本质是控制它**是否走官方、走哪个镜像、以及是否允许其他源介入**。
怎么查当前生效的 Packagist 源
别猜，直接看配置：
- 全局配置（影响所有项目）：
composer config -g repo.packagist—— 返回 JSON 表示已设镜像，空输出或报错表示走默认https://packagist.org - 项目级配置（仅当前目录）：
composer config repo.packagist（不带-g）—— 如果返回值存在，它会**完全屏蔽**全局配置 - 想确认最终行为？加
-vvv跑一次命令，比如composer require monolog/monolog --no-install -vvv，终端里会打印出实际请求的 URL，这才是真相
全局换源必须写对三个字段
这条命令最常敲错：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
缺一不可：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
repo.packagist：key 名必须是这个，不能是repos.packagist（多一个 s 就失效）、也不能是packagist（少前缀） -
composer：这是 type 值，不是可选参数，漏掉会导致 Composer 降级回默认源 -
https://mirrors.aliyun.com/composer/：必须用 HTTPS，末尾**不能加斜杠**（注意：和私有repositories配置相反，这里加斜杠在某些 Composer 版本会报Invalid repository type）
项目级配置为什么更可靠
团队协作或 CI 环境里，全局配置容易引发不一致问题。项目级写法直接进 composer.json，所有人行为统一：
- 先关掉默认源：
{"packagist.org": false}必须写在repositories数组里，且建议放**最后**（避免误删） - 再加镜像源：
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}，放在数组开头 - 顺序决定优先级：Composer 从上到下匹配包，同名包一旦在第一个源命中，后面全跳过
- 别手动编辑
composer.json的repositories—— 用命令追加：composer config repositories.0.type composer等，避免格式错误
为什么禁用 packagist.org 很容易漏掉
很多人以为“我只写了私有源，那肯定走私有”，结果还是装到了官方版同名包。根本原因是：packagist.org 是 Composer 的隐式源，不显式关掉，它永远在后台参与解析。
关键点：
-
"packagist.org": false必须作为repositories数组中的一项，不是顶层字段 - 它不能和私有源写成同一对象，必须拆开，例如：
[{"type":"composer","url":"https://my-private.com/"},{"packagist.org":false}] - 如果关了又想保留公共包能力，得手动补回官方源：
{"type":"composer","url":"https://packagist.org/"}，否则连monolog/monolog都装不了
最容易被忽略的是：禁用操作不是“开关”，而是“移除参与权”。一旦漏掉，Composer 就会在私有源没命中的时候，默默 fallback 到官方源拉包——你根本看不到日志里那行请求，除非加 -vvv。
