composer无镜像源白名单机制，本质是禁用默认源（composer config -g repo.packagist false）后显式声明可信仓库；键名必须为repo.packagist，repo.packagist.org等写法无效，会被视为普通自定义仓库而无法接管默认行为。
Composer 本身不提供“镜像源白名单”机制，所谓白名单，实际是禁用默认源 + 显式声明可信仓库的组合操作；直接配置 repositories 只是增加额外源，不是限制来源。
为什么 repo.packagist.org 配置无效
Composer v2.2+ 对内置源标识符校验极严：repo.packagist 是唯一合法键名，repo.packagist.org 或 repositories.packagist 会被当成普通自定义仓库，完全无法接管默认行为。
- 错误写法：
composer config -g repositories.packagist.org url https://mirrors.tuna.tsinghua.edu.cn/composer/→ 该条目静默失效 - 正确前提：
composer config -g repo.packagist false（布尔值false，不能是null或空字符串） - 验证是否生效：
composer config -g -l | grep repo.packagist应输出repo.packagist=false
如何为中文镜像（如阿里云、清华）添加可信仓库
关掉默认源后，每个你想用的镜像都得单独注册为一个 repositories.xxx 条目，且键名必须唯一、不含点号（.），type 必须为 composer。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 阿里云镜像示例：
composer config -g repositories.aliyun type composer，再执行composer config -g repositories.aliyun url https://mirrors.aliyun.com/composer/ - 清华镜像同理：
composer config -g repositories.tsinghua type composer+url https://mirrors.tuna.tsinghua.edu.cn/composer/ - 键名
aliyun和tsinghua是任意自定义标识，和包名无关，但重复或含点号会导致 Composer 静默跳过该条目
composer require 报 “Package not found” 怎么办
禁用默认源后，Composer 不会 fallback，只查你显式声明的 repositories。报错不是配置漏了，而是该包根本不在你加的镜像里。
- 先确认包是否存在镜像中：打开
https://mirrors.aliyun.com/composer/p/vendor/name.json（替换 vendor/name），看能否返回 JSON - 若镜像未同步（常见于小众包或新版本），需临时加回官方源：
composer config -g repositories.official type composer+url https://packagist.org - 单次绕过：
composer require vendor/name --repository=https://packagist.org，但不可用于 CI 或长期维护 - 注意：项目级
composer.json的repositories字段不会覆盖全局repo.packagist=false，所有项目都受约束
HTTPS 和签名验证是白名单真正生效的前提
即使你严格配置了镜像仓库，若 URL 是 HTTP 协议，或镜像未同步 signature 字段（如已下线旧镜像），Composer 会跳过包签名验证，带来供应链投毒风险。
- 所有
url必须以https://开头，HTTP 地址会被拒绝或降级处理 - 检查镜像是否支持签名：访问
https://mirrors.aliyun.com/composer/packages.json，确认响应中含"signature": "..."字段 - 阿里云、腾讯云、清华镜像目前均支持完整签名同步；部分历史镜像（如某些高校私有镜像）可能已停更，需弃用
最易被忽略的一点：白名单模式下，COMPOSER_REPO_PACKAGIST 环境变量会完全覆盖你的全局配置，CI 流水线中务必确认该变量未被意外设值。
