composer无镜像源白名单机制，本质是禁用默认源后显式声明可信仓库；需全局配置repo.packagist=false并严格定义repositories键名、type与https镜像url，否则包发现失效或校验降级。

Composer 没有“镜像源白名单”机制，所谓白名单实际是禁用默认源 + 显式声明可信仓库的组合操作；直接配 repo.packagist 只是换源，不是白名单，也不提供包级控制能力。

composer config -g repo.packagist false 是白名单的前提

不关掉默认源，任何 repositories 配置都不会接管 packagist.org 的包发现逻辑。这个开关必须用 false（布尔值），不能写成 null 或空字符串，否则 Composer 2.2+ 会忽略它。

• 执行后，composer require foo/bar 会直接报错 “Package not found”，除非你已在 repositories 中显式注册了该包所在源
• 全局配置生效后，composer config -g -l | grep repo.packagist 应输出 repo.packagist=false
• 注意：键名只能是 repo.packagist，写成 repo.packagist.org 或 repositories.packagist 都无效

repositories 中的键名和 type 必须严格匹配

每个手动添加的仓库都需指定 type 和唯一键名，且键名不能重复、不能含点号（.），否则 Composer 会静默跳过该条目。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 正确示例：composer config -g repositories.aliyun type composer + composer config -g repositories.aliyun url https://mirrors.aliyun.com/composer/
• 错误示例：composer config -g repositories.packagist.org url ... → 这个仓库不会替代默认行为，只当普通自定义源处理
• 若某包仅存在于 packagist.org（如小众私有包），需单独加回：composer config -g repositories.official type composer + composer config -g repositories.official url https://packagist.org

项目级配置无法覆盖 repo.packagist=false 的全局限制

repo.packagist 开关只在全局配置中生效，项目级 composer.json 里的 repositories 不会触发默认源恢复。这意味着：一旦全局禁用了默认源，所有项目都受约束，除非你在每个项目里手动补全所需仓库。

• 团队协作时，建议把仓库声明写进项目 composer.json 的 repositories 字段，而非依赖全局设置，避免环境不一致
• CI 流水线若失败，先检查是否因全局 repo.packagist=false 导致找不到包，再确认 composer.json 是否已声明对应源
• 临时绕过限制可用：composer require foo/bar --repository=https://packagist.org，但不推荐长期使用

安全风险：HTTP 镜像或停更镜像会跳过签名验证

启用白名单模式后，如果任一 repositories 使用 HTTP 协议或指向未同步 signature 字段的旧镜像（如已下线的 https://packagist.laravel-china.org），Composer 会自动降级为无校验安装，vendor 目录可能被投毒。

• 必须确保所有 url 值以 https:// 开头，且镜像站支持 Composer 2.5+ 的元数据签名字段
• 验证方式：composer diagnose 输出中应含 secure-http: OK 和 signature verification: OK
• 阿里云、清华、腾讯云当前镜像均支持 signature 同步，但需确认 URL 是官方维护地址，而非第三方转发站

真正难的不是加几行配置，而是厘清「谁在什么时候决定从哪个源拉哪个包」——repo.packagist 控制默认路由，repositories 提供备选路径，而 allow-plugins 和 security.signature 才是最后的安全闸门。漏掉任意一层，白名单就只剩名字好听。