Composer如何限制包来源_Composer仓库白名单设置【安全】-composer-PHP中文网

composer无仓库白名单机制，本质是禁用默认源（repo.packagist false）后显式声明可信仓库；键名必须为repo.packagist，repo.packagist.org无效；关默认源后仅查已声明仓库，包不在其中则报错。

composer如何限制包来源_composer仓库白名单设置【安全】

Composer 没有“仓库白名单”配置项，所谓白名单，本质是禁用默认源 + 显式声明可信仓库的组合操作。直接加几个镜像地址却不关默认源，等于没限制。

为什么 `repo.packagist.org` 配置无效

Composer v2+ 对内置源标识符校验极严：repo.packagist 是唯一合法键名；写成 repo.packagist.org 会被当成普通自定义仓库，完全无法接管默认行为。

错误写法：composer config -g repositories.packagist.org url https://mirrors.tuna.tsinghua.edu.cn/composer/ → 该仓库不会替代默认源
正确流程：先执行 composer config -g repo.packagist false 彻底关闭默认源；再用 repositories.xxx 显式添加替代项，例如：composer config -g repositories.aliyun type composer 和 composer config -g repositories.aliyun url https://mirrors.aliyun.com/composer/
验证是否生效：composer config -g -l | grep repositories 应同时显示 repo.packagist=false 和你定义的 repositories.* 条目

require 的包找不到？不是配置漏了，是包根本不在你声明的仓库里

关掉默认源后，Composer 不会自动探测包归属，也不会 fallback 到未声明的源。它只查你 repositories 里明确列出的那些地址。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

查包在哪：打开 https://packagist.org/packages/vendor/name，看右上角 “Source” 是否指向 GitHub/GitLab —— 如果是，说明它只存在于 packagist.org，必须手动加回官方源
临时解决：composer require vendor/name --repository=https://packagist.org（单次绕过）
长期方案：为该包所在组织加镜像源，比如 VuePress 用户应加 repositories.vuepress + type composer + 对应镜像 URL
注意环境变量：COMPOSER_REPO_PACKAGIST 会完全覆盖默认源设置，务必确认未被设值

私有包怎么只让某个仓库提供？必须用 `"type": "package"`

想让私仓只提供 myorg/foo 和 myorg/bar，其他包一律不可见？别用 type: composer 或 type: vcs —— 它们会全量扫描 packages.json，导致泛匹配风险。

唯一可靠方式：把私仓声明为 "type": "package"，并为每个实际提供的包显式写出 name、version、dist 字段
多个包就写多个条目，全部放在 repositories 数组最前面，确保优先级最高

示例片段：

{
  "repositories": [
    {
      "type": "package",
      "package": {
        "name": "mycorp/utils",
        "version": "1.2.0",
        "dist": {
          "url": "https://artifacts.mycorp.com/utils-1.2.0.zip",
          "type": "zip"
        }
      }
    }
  ]
}

插件也要白名单：`config.allow-plugins` 必须显式声明

Composer 2.2+ 默认禁用所有第三方插件，且不支持全局配置。白名单只认当前项目 composer.json 顶层的 config.allow-plugins 字段。

键名必须与插件包 name 字段完全一致（如 "phpstan/extension-installer": true），大小写敏感
填错常见原因：漏掉 vendor 前缀、混淆类名与包名、复制了 require 中的别名
查真实插件名最准的方式：composer show --plugins
CI/CD 环境中要注意：白名单不记录在 composer.lock，每次 composer install 都重新读取，版本不一致或 --no-plugins 参数都会导致失败

真正容易被忽略的是顺序和作用域：repositories 数组从上到下扫描，repo.packagist 开关仅全局生效，而 allow-plugins 只对 root package 生效。这三个控制点各自独立，缺一不可，且不能靠“大概齐”配置蒙混过关。