composer查包严格按repositories数组从上到下线性匹配，首个声明支持目标包的仓库即生效，后续全跳过；必须用索引数组、私有源置顶、显式设{"packagist.org": false}于其后，且私有源packages.json须含完整元数据。
repositories数组顺序决定实际查找路径，不是“谁先写谁赢”
Composer查包时，repositories数组不是简单按索引顺序挨个发请求。它从索引 0 开始，对每个仓库检查其元数据是否声明支持目标包（比如通过packages字段、provider-includes或pattern）。只有声明支持的仓库才会被发起真实 HTTP 请求；没声明，哪怕 URL 可访问，也直接跳过。
常见错误现象：composer require myorg/utils报Could not find package，但curl -I https://my-company.example.com/packages.json返回 200 → 实际日志里根本没访问这个地址，因为前面的镜像源返回了空{"packages":{}}，Composer 认为它“不支持”，继续往下找，结果后面没源了。
- 私有 Satis 源必须生成
provider-includes，否则每次拉全量packages.json，体积大、解析慢，你还以为是“顺序没生效” - 写了两个私有源都声明支持
monolog/monolog，Composer 只取第一个返回有效 JSON 的，后一个完全忽略，行为未定义 - 数组里混写
https://repo.packagist.org/和镜像 URL 是危险操作——前者会抢在镜像前触发网络请求，一断网就卡死
“packagist.org”: false 是终止符，不是开关
{"packagist.org": false}不是全局禁用 Packagist 的配置项，而是repositories数组里的一个特殊哨兵对象：它只在被遍历到时起作用，告诉 Composer “别再隐式兜底了”。如果把它放在私有源前面，Composer 查完私有源后立刻碰到它，判定“无源可用”，直接报错退出。
必须把它放在私有源之后、数组末尾，且必须是独立对象：
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 不能嵌套进其他仓库定义里（比如不能写成
{"type":"composer","url":"","packagist.org":false}） - 键名必须是
"packagist.org"，写成"packagist"或"packagist.com"都无效 - 禁用后若还需公共包，得手动加回官方源，并确保排在它之后：
{"type": "composer", "url": "https://packagist.org/"}
项目级 repositories 会整块覆盖全局配置
只要项目composer.json里存在"repositories"字段（哪怕只是空数组"repositories": []），全局~/.composer/config.json里的所有仓库配置都会被丢弃——不是合并，不是追加，是彻底替换。
验证方式：运行composer config repositories，确认输出和你写的完全一致。如果输出里还有https://repo.packagist.org，说明项目配置没生效，或被误删/覆盖。
- 全局执行
composer config -g repos.packagist false是危险操作，会破坏其他项目依赖安装 - 想让私有源生效，必须把它放在项目
repositories数组最前面，并确保{"packagist.org": false}是独立项、在数组末尾 - 删掉
vendor/和composer.lock再运行composer install，否则旧 lock 文件里的源哈希可能仍指向原站
多个镜像共存 ≠ 自动 fallback
Composer 不支持故障转移、轮询或健康检查。它只按repositories数组顺序查，且仅当某个源明确返回 404（包不存在）时，才继续查下一个；遇到超时、500、DNS 失败等，直接报错退出。
把响应最快、稳定性最高的镜像放在第一位（比如阿里云通常比小众镜像更可靠），而不是堆砌多个“以防万一”。
- 两个镜像都写进
repositories数组没意义——只要第一个镜像服务正常，第二个永远不被访问 - 想“模拟 fallback”，得靠脚本检测镜像可用性再切换：
curl -I -s -o /dev/null -w "%{http_code}" https://mirrors.aliyun.com/composer/packages.json返回 200 才设为当前源 - 国内镜像本质是
packagist.org的只读代理，不托管私有包；混配私有源时，必须禁用默认源，否则私有包会被跳过
packages.json快照，若根索引未及时更新，Composer 请求/packages.json就会漏掉新包。
