composer私有源配置必须在repositories数组中设置，而非config段；需用"type": "composer"指向packages.json，按环境分文件通过composer变量加载，私有包须显式声明version，且allow-plugins须精确授权。
Composer私有源配置必须用repositories而非config
直接在composer.json里改config段加github-oauth或http-basic，根本不会生效——这些只影响认证，不改变包发现路径。真正切换私有源的唯一位置是repositories数组，且顺序决定优先级：靠前的仓库会先被查询。
常见错误是把私有源写成"type": "package"，结果只能手动声明每个包版本；正确做法是用"type": "composer"指向私有仓库的packages.json入口（比如https://packages.your-company.com），让Composer自动索引所有可用包。
- 开发环境用
"url": "https://dev-packages.your-company.com"，带基础认证 - 生产环境切到
"url": "https://prod-packages.your-company.com"，配合IP白名单 - 务必加
"options": {"ssl": {"verify_peer": true}}，禁用verify_peer=false——私有源一旦走HTTP或证书不全，composer install会静默失败
composer config --global不能用于多环境隔离
全局配置composer config --global repositories.xxx会让所有项目共享同一套源，开发、测试、生产混在一起，极易误发包或拉错版本。企业级隔离必须靠项目级配置。
正确做法是把不同环境的repositories定义拆进独立配置文件，再用COMPOSER环境变量动态加载：
- 存一份
composer.dev.json，含开发专用私有源和"minimum-stability": "dev" - 存一份
composer.prod.json，只允许"minimum-stability": "stable"，并关闭"prefer-stable": false - 执行时指定：
COMPOSER=composer.prod.json composer install --no-dev
注意：COMPOSER变量只影响当前命令，不会污染其他终端会话，也比修改composer.json再git checkout更安全。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
私有包版本号必须显式声明version字段
私有仓库里的composer.json如果没写"version"，Composer 2.2+ 会拒绝安装，报错"Could not parse version constraint ... invalid version"。这不是bug，是强制校验——避免因Git tag缺失或解析失败导致版本混乱。
尤其要注意分支别名（如"dev-main as 1.0.x-dev"）必须与私有源索引的tag严格对应。若私有仓库用GitLab，需确认composer.json中version值与实际打的tag完全一致（包括v前缀）：
- Git tag 是
v1.2.3→"version": "1.2.3"或"version": "v1.2.3"（二者选其一，全项目统一） - 分支别名写成
"dev-main as 1.2.x-dev"，但私有源没索引main分支，就会卡在Loading repository不动 - CI/CD流水线里跑
composer install前，务必先git fetch --tags，否则本地没tag，composer无法解析版本
权限门禁失效往往因为没关allow-plugins
企业私有包常含自定义Installer或脚本，需要在composer.json里声明"extra": {"installer-paths": {...}}。但如果composer.json里没配"allow-plugins"，Composer 2.2+ 默认禁止所有插件，导致安装后文件没落到预期目录，看起来像“包没装成功”。
解决方法不是全局开白名单，而是按需精确授权：
- 在项目
composer.json顶层加："allow-plugins": {"vendor-name/private-installer": true} - 若用Monorepo，多个私有包共用一个Installer，就写成
"allow-plugins": {"*/*-installer": true}，但必须确保通配符不匹配到恶意包 - CI环境中建议用
COMPOSER_ALLOW_PLUGINS=0临时禁用，验证是否真依赖插件——很多所谓“安装失败”其实是路径配置写错，跟插件无关
最易忽略的是：私有仓库的packages.json元数据里，dist字段的reference必须是完整commit hash，不能是短hash或分支名，否则allow-plugins校验会跳过，权限门禁形同虚设。
