composer不允许同名包从多个源共存，install时会严格按composer.lock中固化dist.url匹配仓库，不匹配则报错“could not find package”或“package is not installed”，必须重生成lock文件才能切换源。
composer install 遇到同名包但来源不同时会怎样
Composer 不允许同一 vendor/name 包从多个源（比如 Packagist 官方源 + 私有 Satis 源）同时存在，install 过程中一旦发现锁文件里记录的包 URL 与当前配置的仓库列表不匹配，就会中断并报错，典型提示是：Could not find package vendor/name at version x.y.z 或 Package vendor/name is not installed。
这不是网络问题，而是 Composer 在校验阶段发现：lock 文件里该包的 dist ZIP 地址指向了已下线的私有源，或当前 repositories 配置里没包含当初生成 lock 的那个源。
- 根本原因：composer.lock 中每个包都固化了其下载地址（
dist.url字段），这个地址由当时生效的repositories顺序和可用性共同决定 - 常见场景：团队用私有 Satis 源开发，但 CI 环境只配了官方源；或某私有包被迁移到新 Git 地址，但 lock 文件仍指向旧仓库
- 注意：即使两个源都声明了同一个
vendor/name，Composer 也只会认 lock 文件里写死的那个 URL 对应的源 —— 它不重新解析、不 fallback
如何确认当前 lock 文件依赖的是哪个源
直接打开 composer.lock，搜索目标包名，在对应条目下找 dist → url 字段。例如：
"monolog/monolog": {
"version": "2.10.0",
"dist": {
"url": "https://packages.example.com/dist/monolog/monolog/2.10.0.zip"
}
}
然后检查你本地 composer.json 的 repositories 列表，确认该 URL 能被其中某个源解析到。如果找不到匹配项，install 就必然失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer config repositories可快速列出当前生效的所有源及其类型（composer/vcs/package） - 若使用了
repositories.packages这类静态包定义，它优先级高于远程源，但不会出现在 lock 的 dist.url 中 —— 此时 lock 里记录的是“本地路径”或空 URL，容易被误判为缺失 - 私有源不可达时，
composer install -v会明确打印 “Skipped package vendor/name: failed to load metadata from …”，比静默失败更有诊断价值
同名包切换源时必须重生成 lock 文件
想把一个包从私有源切到官方源（或反之），不能只改 repositories 配置后跑 composer install —— lock 文件里还锁着旧 URL，install 会坚持去那里下载，结果 404。
- 正确做法是：先删掉
vendor/和composer.lock，再运行composer update vendor/name --with-dependencies - 或者更稳妥地：运行
composer update（全量重解析），确保所有包都按新仓库列表重新选源、重算版本、重写 lock - 禁止手动编辑
composer.lock中的dist.url—— 它的 SHA256 校验值（dist.shasum）会随之失效，install 时校验失败直接退出 - 若只是临时测试某源，可用
composer install --repository-url=https://your-satis.example.com覆盖配置，但该参数不会更新 lock 文件
私有包与公开包同名时的兼容陷阱
当你的私有仓库里有个 myorg/utils，而 Packagist 上恰好也有同名包，Composer 默认按 repositories 声明顺序查找 —— 如果私有源排在前面，install 就永远装不到官方版；但如果私有源暂时不可达，它又可能 fallback 到 Packagist，导致装错版本。
- 最稳方案：给私有包起唯一命名，比如加前缀
myorg-private/utils，彻底规避冲突 - 次选方案：在
repositories中显式禁用 Packagist：{"type": "composer", "url": "https://packagist.org", "packagist": false}，再把私有源放前面 - 不要依赖
replace或provide来“覆盖”同名公开包 —— 它们只影响依赖解析逻辑，不改变实际安装行为，lock 文件仍会记录原始源地址
真正麻烦的不是装不上，而是装上了却没意识到来源已变 —— 某次 CI 成功只是因为私有源刚好挂了、fallback 到了公开源，结果上线后行为异常。所以，锁定源地址这件事，比锁定版本号更底层、也更容易被忽略。
