Composer局部禁用特定镜像源以避免内部包被外部覆盖-composer-PHP中文网

必须在composer.json顶层写"packagist": false才能局部禁用packagist.org，该布尔开关不接受嵌套或参数，设为true后所有包必须显式声明仓库，否则报错。

composer局部禁用特定镜像源以避免内部包被外部覆盖

局部禁用 packagist.org 必须在 composer.json 顶层写 `"packagist": false`

项目级“禁用默认源”不是靠改 repositories 数组实现的，而是靠 composer.json 顶层的一个开关字段。写成 "packagist.org": false 或塞进 repositories 里都无效——Composer v2+ 只认 "packagist": false 这个精确键名。

一旦设了这个，Composer 就彻底忽略内置的 packagist.org 行为，所有包都必须由你显式声明的仓库提供。常见错误是只加镜像却没关默认源，结果 install 时仍 fallback 到官方源查版本，导致内部包被同名外部包覆盖。

"packagist": false 必须放在 composer.json 根对象层级，不能嵌套在 repositories 或其他字段下
它不接受 URL、type 等参数，就是个布尔开关
设完后若 require 的包找不到，不是配置错了，而是那个包确实不在你声明的任何仓库里

私有包必须走独立仓库声明，`repositories` 里不能混用镜像和内部源

你想让 acme/internal-tool 只从公司 GitLab 拉，又不让它被阿里云镜像里的同名包干扰，就得把私有源单独声明为一个 type: "package" 或 type: "composer" 条目，并确保它排在镜像源前面。

镜像源（如 https://mirrors.aliyun.com/composer/）本质是完整复刻 packagist.org 的元数据，它也会包含你内部包的旧版本（如果曾被同步过），所以不能依赖“镜像没同步就安全”这种侥幸。

私有 Git 包推荐用 type: "package" + dist 指向 tarball，避免每次 clone
若用私有 Composer 仓库（如 Satis），type: "composer" 更合适，但需确保其 packages.json 不含外部包
repositories 数组顺序决定查找优先级：前面的源匹配成功就不再往后查
别把私有源和镜像源写成同一个 URL，否则无法隔离

`exclude` 只对单个仓库生效，不能跨源拦截同名包

repositories 条目支持 exclude 字段，但它只影响当前条目下的包匹配，比如：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

{
  "type": "composer",
  "url": "https://mirrors.aliyun.com/composer/",
  "exclude": ["acme/*"]
}

这只会让 Composer 在请求阿里云镜像时跳过所有 acme/ 开头的包，但如果你另一个 repositories 条目里也声明了 acme/internal-tool，它仍会从那个源加载——exclude 不等于全局黑名单。

exclude 支持通配符 *，但不支持 ? 或正则，也不支持后缀匹配（如 "*tool" 无效）
它只过滤 packages.json 中的包列表，不阻止手动 require 后的安装行为
如果多个仓库都声明了同名包，exclude 不改变它们之间的优先级，只删掉当前源的候选

验证是否真绕开了镜像源，得看 `composer update -vvv` 里的 `p2/` 请求域名

别信下载速度或缓存状态。真正判断是否生效，唯一可靠方式是运行 composer update -vvv，然后搜索日志中形如 GET https://xxx/p2/acme/internal-tool.json 的行——这个域名必须是你私有仓库的地址，而不是镜像域名。

常见假象：清了缓存、改了配置、命令没报错，但日志里仍出现 mirrors.aliyun.com/p2/，说明 "packagist": false 没起作用，或者 repositories 里漏写了私有源，导致 Composer fallback 到镜像源查包。

-vvv 输出里每条 GET 请求对应一次元数据拉取，重点关注 p2/ 路径（v2 协议）
如果看到 Could not find package acme/internal-tool，先确认该包是否在私有源的 packages.json 里真实存在
项目级配置永远优先于全局配置，哪怕你全局设了镜像，只要 composer.json 里有 repositories，它就按项目来

最易被忽略的是：禁用 packagist 后，Composer 不再自动补全任何未声明的依赖源。哪怕你只漏了一个 monolog/monolog 的镜像声明，整个 install 都会卡住——它不会聪明地 fallback，只会报错。每个 require 的包，都得有且仅有一个你明确信任的来源。