composer报“authorization failed”并非镜像问题，而是因误配http-basic认证、composer_auth环境变量格式错误或私有源url被错误塞入repositories数组，导致对公开镜像发起带无效凭据的请求而返回401。

Composer 中文镜像本身不校验凭证，所谓“授权失败”基本是误判——真正出问题的是你本地配置了私有仓库、启用了 HTTP Basic Auth，或环境变量里混入了错误的 COMPOSER_AUTH 值。

为什么 composer install 报 “Authorization failed” 却没动私有包？

镜像源（如阿里云、腾讯云）全部公开可访问，不需要任何 token 或密码。报这个错，说明 Composer 在请求某个 URL 时被服务端返回了 401，而那个 URL 很可能不是镜像地址，而是：

• 项目 composer.json 里手动加了私有 "repositories"，但没配 auth 或凭据过期
• 全局或项目级配置了 http-basic，指向了一个已失效的私仓域名（比如旧 GitLab 地址）
• COMPOSER_AUTH 环境变量被设成无效 JSON，比如少了个引号或多了个逗号，导致 Composer 解析后尝试用空凭据去所有源上认证

查 http-basic 配置是否污染了镜像请求

Composer 会把 http-basic 配置按域名匹配，一旦你给 packagist.org 或镜像域名（如 mirrors.aliyun.com）配了凭据，它就会在每次请求时带上 Authorization: Basic xxx —— 而镜像站不认这个头，直接 401。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 查全局配置：composer config -g http-basic，如果输出里包含 mirrors.aliyun.com 或 packagist.org，立刻删掉：composer config --global --unset http-basic.mirrors.aliyun.com
• 查项目级配置：composer config http-basic，同理清理
• 确认没漏掉子域名：比如你配了 gitlab.example.com，但实际请求的是 api.gitlab.example.com，也得单独配，否则 fallback 时可能触发认证失败

COMPOSER_AUTH 环境变量写错一个字符就全崩

这个变量必须是合法 JSON 字符串，且只对私有源生效。一旦格式错误（比如用单引号、缺逗号、多斜杠），Composer 就会静默解析失败，然后对所有请求都发空凭据，导致镜像站返回 401。

• 检查是否设置：echo $COMPOSER_AUTH
• 合法值长这样：{"gitlab.example.com": {"username": "user", "password": "pass"}}
• 常见错误：用 ' 包裹、含注释、结尾多逗号、密码里有未转义的 / 或 $
• 临时禁用验证：COMPOSER_AUTH="" composer install -vvv 2>&1 | head -n 20，如果不再报 401，就是它的问题

私有仓库配置和镜像共存时的真实优先级

镜像源（repositories.packagist.org）只接管 packagist.org 的流量；私有源走独立域名，两者互不干扰。但如果你在 repositories 里写了 "type": "composer" 且 URL 指向镜像站（比如 https://mirrors.aliyun.com/composer/），Composer 会把它当私仓处理，强制走 http-basic 认证逻辑。

• 别把镜像 URL 塞进项目级 repositories 数组——这是最常踩的坑。镜像必须走全局 repositories.packagist.org 或 repo.packagist（旧版）
• 私有源要用独立域名，且确保 http-basic 只配在这个域名上，不要泛配
• 验证当前生效的源列表：composer config --list | grep repositories，确认没有重复或冲突定义

真正卡住的从来不是镜像本身，而是你无意中给它套上了私仓的枷锁。删掉多余的 http-basic、清掉畸形的 COMPOSER_AUTH、确保镜像不被塞进项目级 repositories，问题就消失了——剩下的 401，基本只剩私有仓库真凭据失效这一种可能。