使用Composer中文镜像构建私有化Composer代理网关-composer-PHP中文网

镜像不是代理网关，仅缓存元数据不托管zip包，无法透传x-oauth-scopes等关键头，故不能替代composer-proxy；后者是唯一兼容composer 2.5+、原样透传signature、支持/p2路径的轻量代理方案。

使用composer中文镜像构建私有化composer代理网关

为什么不能用“镜像”当代理网关

Composer 中文镜像（如阿里云、USTC）本质是只缓存 packages.json 和 provider-*.json 的元数据服务，不托管 ZIP 包——它不是代理网关，也不转发 dist.url 请求。你配置了 https://mirrors.aliyun.com/composer/，但 composer install 仍会直连 GitHub/GitLab 下载 ZIP，内网必然失败。

真正需要的是能透传、重写、缓存并签名所有请求的代理层，而非静态元数据镜像。

composer config -g repo.packagist composer https://mirrors.xxx.com/composer/ 只改元数据入口，对 dist 下载无影响
公开镜像不支持私有包上传、权限控制、审计日志等企业必需能力
GitHub/GitLab 的 ZIP 下载需携带 X-OAuth-Scopes 头，普通反向代理默认不透传，返回 403

composer-proxy 是目前唯一可行的轻量代理网关

截至 2026 年 7 月，composer-proxy 是唯一仍在维护、兼容 Composer 2.5+ 且原样透传 signature 字段的开源代理方案。Toran Proxy 已归档，Satis 不是代理，Artifactory/Nexus 虽强但重型。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

用 Go 编写，无数据库依赖，启动即用：./composer-proxy --upstream https://repo.packagist.org --listen :8080
自动处理 /p2/ 协议路径（如 /p2/vendor/package.json），旧版代理常漏掉此端点导致解析失败
完整透传上游响应头（含 Content-Type: application/json、ETag、signature），composer diagnose 全项通过
支持 Basic Auth 和 Bearer Token 认证，凭据可注入到 upstream 请求中，避免内网暴露 token

Nginx 前置代理必须补全三类头信息

即使用了 composer-proxy，若前端用 Nginx 做 HTTPS 终结或负载均衡，必须显式透传关键头，否则下游 Composer 客户端会降级或静默跳过。

必须透传 X-OAuth-Scopes：否则 GitHub ZIP 下载返回 403；Nginx 配置需加 proxy_pass_request_headers on; + 显式 proxy_set_header X-OAuth-Scopes $http_x_oauth_scopes;
必须保留 signature 响应头：Composer 2.2+ 强校验该字段，Nginx 默认不缓存带自定义头的响应，需配 proxy_cache_valid 200 302 5m; + proxy_ignore_headers Cache-Control Expires;
必须设置 Content-Type：若 Nginx 自动添加 text/plain，Composer 拒收；应在 location 块中加 types { application/json json; }

项目级 repositories 配置容易漏掉的关键项

代理网关跑通 ≠ 项目能用。客户端 composer.json 写错一个字符，Composer 就回退到官方源且不报错——这是最隐蔽的失效场景。

"type": "composer" 必须显式写出，不能省略；写成 "type": "artifact" 或留空会导致无法解析语义化版本
URL 必须以 / 结尾："url": "https://pkgs.internal/" ✅，"url": "https://pkgs.internal" ❌（拼出 /packages.json 变成 /packages.json）
"packagist.org": false 必须作为独立对象放在 repositories 数组末尾，不能嵌套在其他仓库对象里
私有源必须排第一：repositories 数组中，你的代理地址得是第 0 项，否则同名包会被 packagist.org 覆盖

复杂点不在搭建，而在验证链路是否真正闭环：从 composer config -g repo.packagist 输出、到 composer show vendor/package --verbose 中的 dist.url 是否已指向代理地址、再到 curl -I https://pkgs.internal/p2/vendor/package.json 返回 200 + 正确头信息——缺一不可。