私有包因镜像源拦截返回404，须将私有源置于repositories数组首位并确保其packages.json合法；镜像仅代理公开包，不转发私有请求，且需校验认证、协议、依赖解析等配置。
私有包被镜像源拦截导致404
镜像只代理公开包，不代理私有仓库。如果你在composer.json里同时写了私有源和阿里云镜像，但把镜像放在repositories数组前面，Composer 就会先去镜像查私有包——而镜像根本没有，直接返回 404。
- 必须把私有源写在镜像前面：
"repositories": [{"type": "composer", "url": "https://your-private-repo.com"}, {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}] - 不能用
repo.packagist字段配私有源——它只接管packagist.org的流量，对自定义repositories无效 - 私有源 URL 必须返回合法的
packages.json，且Content-Type为application/json；用curl -I https://your-private-repo.com/packages.json验证状态码和头信息
镜像配置生效但私有包仍拉不到
常见错觉是“我配了镜像，所以所有包都该走镜像”，其实镜像和私有源是并列关系，不是代理层。Composer 会按repositories顺序逐个尝试，直到匹配到包名前缀或providers声明。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 确认私有包的
name字段（如mycorp/utils）是否被私有源的packages.json明确列出；镜像不会“猜”你想要什么 - 如果私有源用了认证（如
http-basic），确保auth.json已正确生成，且composer config --global http-basic.your-private-repo.com username token中的域名和repositories里的 URL 域名完全一致（含端口、协议） - 运行
composer show -p mycorp/utils -vvv，看日志里实际请求的是哪个 URL；如果出现Skipping repository ... due to missing provider，说明该源没声明提供这个包
CI 环境下私有源认证失效
本地能装，CI 报 401 或 403，大概率是auth.json没进环境。GitHub Actions、GitLab CI 默认不继承你的全局凭证，也不读你本地的~/.composer/auth.json。
- 不要把 token 硬编码进
composer.json或脚本里；用 CI 的 secrets 注入，例如 GitHub Actions 中：COMPOSER_AUTH: '{"http-basic":{"your-private-repo.com":{"username":"${{ secrets.PRIVATE_REPO_USER }}","password":"${{ secrets.PRIVATE_REPO_TOKEN }}"}}}' - 确认私有源 URL 协议：如果用了
https://，但 CI 里 PHP 的openssl.cafile路径不对，也会表现为 401（其实是证书校验失败后 fallback 到未授权请求） - 加
--no-plugins参数跑一次：composer install --no-plugins -vvv，排除插件干扰；有些认证插件在 CI 容器里缺少依赖或权限
私有包依赖公开包时解析失败
私有包composer.json里写了"monolog/monolog": "^2.0"，但 Composer 卡在Resolving dependencies不动——不是私有源问题，而是镜像同步延迟或平台约束冲突。
- 检查私有包的
composer.json中php版本约束是否过宽（如"^7.4 || ^8.0 || ^8.1"），会导致依赖解析器遍历过多组合；收紧为"^8.1"试试 - 运行
composer require monolog/monolog -vvv单独测试公开包能否拉；如果失败，说明镜像没生效或滞后，别归咎于私有源 - 若私有包用了
require-dev一堆未锁定版本的工具（如"phpunit/phpunit": "*"），删除require-dev段再试；dev 包不参与安装，但会拖慢解析
repositories数组顺序和包名匹配规则协同工作。最容易被忽略的是：私有源必须显式声明它提供哪些包，镜像不会自动转发未知请求。
