composer多仓库配置核心是repositories数组顺序（优先级）、type与url严格匹配、显式禁用packagist.org；必须用索引数组、正确设type、分离认证至auth.json，并更新lock文件。
Composer 多仓库源不是“加几个 URL 就能用”，核心是控制包名路由和源优先级——配错顺序、漏禁 packagist.org、type 选错，包就拉不下来，且错误往往静默发生。
repositories 必须是索引数组，顺序即查找优先级
Composer 查包是线性短路逻辑：从 repositories 数组第一个元素开始，匹配到同名包（vendor/name）就立刻停止，后面的源全被跳过。这不是 fallback，是硬截断。
- 私有包如
acme/internal-tool必须放在数组最前面，否则可能被后面镜像或 packagist.org 覆盖 - 写成对象形式（如
"my-repo": { "type": "composer", ... }）会导致只生效最后一个——必须用方括号[]，每个源是独立对象 - 全局配置（
~/.composer/config.json）里的repositories会被项目级composer.json完全覆盖，不叠加
type 决定行为，不是随便填 "composer" 就行
type 不是标签，而是协议绑定。填错类型，URL 再对也查不到包，且常无明确报错。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
"type": "composer"→ 指向完整索引服务（如 Satis、Private Packagist、阿里云镜像），Composer 会请求packages.json并读取 providers 列表 -
"type": "vcs"→ 指向 Git/SVN 地址（如https://gitlab.example.com/org/pkg.git），Composer 只对该仓库根目录下的composer.json生效，且仅当你require的包名与该文件中"name"字段完全一致时才触发 -
"type": "package"→ 手动声明单个包的版本、dist URL 和 autoload，不支持自动版本发现，维护成本高，慎用 - 把私有 Packagist 的 URL 配成
vcs类型，Composer 会尝试git clone一个 HTML 页面，报错Could not find package packagist.org
packagist.org 默认隐式存在，必须显式禁用或显式兜底
一旦定义了 repositories 数组，Composer 就隐式设 "packagist.org": false。这意味着：composer require monolog/monolog 会直接失败，除非你手动加回。
- 要禁用官方源（防污染/强制走私仓）：在
composer.json根级加"packagist.org": false（注意：不是放进repositories数组里） - 要保留官方源作 fallback：在
repositories数组末尾加{"packagist.org": true}，不能写{"type": "composer", "url": "https://packagist.org"}，后者会冲突 - 常见错误：把
{"packagist.org": true}放在第一位 → 所有包都走官方源，私仓彻底失效
为什么 composer install 不拉新仓库里的更新？
composer.lock 锁死了具体版本和 dist URL。哪怕你改了 repositories，只要 lock 文件里记录的是旧地址或旧 commit，install 就不会重新解析源。
- 现象：切了私仓地址或换了 vcs 仓库，
composer install没反应，composer update才触发重解析 - 安全做法：运行
composer update --lock，它只更新 lock 文件里的源信息，不改动已安装包 - 危险做法：删掉
composer.lock再composer install—— 生产环境慎用 - 私仓若需认证（HTTP Basic / OAuth），确保
auth.json已正确配置，否则update会卡在 401
最容易被忽略的是：repositories 数组里混用 composer 和 vcs 类型时，前者按包名前缀全局索引，后者只响应明确声明的单个包名；如果私仓没在 packages.json 里列出对应条目，或者没启用 providers 索引，Composer 就当它不存在——连日志都不会显示访问尝试。
