不能。composer 本身不支持作者白名单过滤机制；唯一可行路径是禁用默认源、改用仅收录指定作者包的私有镜像（如 satis 或 private packagist），并通过 ci 脚本扫描 composer.json 防止手动引入非授权包。
Composer 能不能只允许安装某作者的包？
不能。Composer 本身不提供「白名单式作者过滤」机制，composer.json 或 config.json 中没有任何配置项能直接声明「只允许安装 monolog/monolog 或 symfony/* 这类作者/命名空间的包」。强行在全局或项目级做这种限制，会破坏依赖解析逻辑——因为 Composer 必须下载所有依赖的 composer.json 才能递归计算版本约束、冲突与 autoload 规则。
用 repositories + packagist.org 镜像实现「事实上的作者过滤」
最接近需求的实操路径是：禁用默认 Packagist，改用自建镜像源（如私有 Satis / Private Packagist），并在该镜像中仅收录指定作者的包。关键在于控制「谁的包能进镜像」，而非让 Composer 主动过滤。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
composer.json中显式关闭默认源："packagist.org": false（注意不是false字符串，是布尔值） - 添加自定义仓库，类型为
composer，指向你可控的镜像地址：{"type": "composer", "url": "https://your-mirror.example.com"} - 镜像服务需预设规则：例如 Satis 的
packages配置只 include^myorg/和^acme/开头的包；Private Packagist 可通过 UI 设置「allowed vendor patterns」 - ⚠️ 注意：如果镜像未同步某依赖的所需版本，
composer install会直接失败，不会 fallback 到其他源
require 中硬编码 vendor 名称是否算限制？
不算真正限制，但属于最小可行防护。如果你只在 require 字段写死 "mycompany/utils": "^2.0"，而不引入第三方包，那自然不会拉取非授权作者的代码——但这只是「不主动引入」，不是「禁止引入」。一旦团队成员手动加了一行 "guzzlehttp/guzzle"，Composer 照样装。
- 可配合
composer forbid插件（如sensiolabs/security-checker已弃用，推荐roave/security-advisories）间接阻断已知高危包，但它按包名/漏洞 ID 匹配，不按作者过滤 - CI 流程中可用脚本扫描
composer.json：grep -E '"[a-z0-9_-]+/[a-z0-9_-]+" *:' composer.json | grep -v 'mycompany\|acme'，匹配到非白名单 vendor 就中断构建 - 这类检查无法拦截
require-dev或嵌套依赖带来的作者扩散，只能守住第一道门
为什么不用 minimum-stability 或 platform 配置来过滤作者？
因为它们和作者无关。minimum-stability 控制版本稳定性标签（stable/beta），platform 是伪造 PHP 扩展环境，两者都不解析 vendor 名称。试图用 config.sort-packages 或 prefer-stable 达到作者过滤目的，属于方向性误解。
- 真正影响作者可见性的只有两处：源（
repositories）和锁文件（composer.lock）中的包列表 - 如果你发现某个意外作者的包进了
composer.lock，优先查它的上游依赖是谁——大概率是某个你信任的包（比如laravel/framework）依赖了nesbot/carbon，而你没意识到nesbot不在你的白名单里 - 这种隐式依赖链才是最难审计的部分，比配置本身更值得花时间梳理
