私有镜像仓库需严格配置三要素：源地址可信、元数据可验、凭证隔离；任一缺失将导致恶意包绕过检查进入生产环境。
私有镜像仓库本身不安全，配置错一步就等于把后门焊死在 CI 流水线上。 它不是开箱即用的保险箱，而是需要你亲手拧紧三颗螺丝的金属盒：源地址必须可信、元数据必须可验、凭证必须隔离。漏掉任意一颗，恶意包就能绕过所有检查直接进生产环境。
composer.json 里加了私有 URL 却找不到包？先关掉 packagist.org
根本不是 URL 写错了，而是 Composer 默认优先查 packagist.org，你的私有仓库只是 fallback——哪怕 URL 能 curl 通，包也永远不会被匹配。
-
"packagist.org": false必须作为独立对象写在repositories数组第一项，不能合并进其他仓库配置里 - URL 末尾的
/不可省略，少一个就会请求/composerpackages.json导致 404 - Artifactory 或 Satis 的仓库类型必须是
composer，Generic 或 Remote（非 composer 类型）会被静默忽略 - 如果用了虚拟仓库聚合多个源，确保它后端至少包含一个
type: composer的本地或远程仓库
镜像加速配置总不生效？四要素缺一不可
composer config -g repo.packagist 这条命令不是“大概对就行”，漏一个条件就静默失效，且完全不报错。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 字段名必须是
repo.packagist（单数、小写、无 s），写成repos.packagist或repositories.packagist.org都无效 - 中间的
composer是必填type值，不是注释，不能省略也不能替换成https - URL 必须是 HTTPS 且以
/结尾，例如https://mirrors.aliyun.com/composer/ - Linux/macOS 下若用
sudo composer config -g，配置写进/root/.composer/config.json，普通用户运行时读不到
CI 环境里 COMPOSER_AUTH 总出问题？别手拼 JSON
硬编码、换行、逗号缺失、键名大小写错误——任何一个字符偏差都会让整个构建失败，而且 Composer 不提示具体哪错。
- 正确格式必须是单行、无换行、键名全小写：
COMPOSER_AUTH='{"http-basic":{"packages.your-company.com":{"username":"ci","password":"xxx"}}}' - 禁止在脚本里字符串拼接 JSON，改用
jq生成：echo '{"http-basic": {"'"$REPO_HOST"'": {"username": "'"$CI_USER"'", "password": "'"$CI_TOKEN"'"}}}' | jq -c - CI 第一步必须校验：
composer config --global --list | grep -q "http-basic" || (echo "MISSING AUTH CONFIG" >&2; exit 1) - 绝对禁止在
composer.json里写死凭证，哪怕注释掉也会被某些插件读取
为什么 Satis 构建后 update 还走外网？检查这三个链路点
Satis 是静态文件服务，不提供动态 API。如果 composer update 还在连 packagist.org，说明客户端根本没读到你的镜像源。
- 确认
packages.json可被直连：curl -I https://satis.example.com/packages.json必须返回 200，Nginx 返回 403/404 就会静默 fallback - 项目
composer.json中的url值必须以/结尾，否则路径拼接错误 - 运行
composer clear-cache && composer require monolog/monolog -vvv，在日志中搜索Downloading，确认实际请求的是你的镜像地址，不是packagist.org
最常被跳过的其实是 GPG 签名——Satis 构建时不加 --sign，客户端不配 repo.packagist.org.allow_ssl_downgrade false，整个验证链条就断在第一环。签名不是可选项，是防止元数据篡改的唯一防线。
