根本原因是composer默认优先查packagist.org，私有仓库仅作fallback；必须在项目级composer.json中显式设置"packagist.org": false，并确保私有源type为composer、url末尾带/、packages.json包含对应包元数据。
为什么加了私有仓库，monolog/monolog 还是从 packagist.org 装
根本原因不是 URL 写错或网络不通，而是 Composer 默认把 packagist.org 当作唯一权威源——哪怕你 repositories 里写了私有地址，它也只当 fallback，优先查官方源。只要 monolog/monolog 在 packagist.org 上存在，Composer 就不会去你的私有仓库找同名包。
必须显式关闭默认源，且位置必须在项目级 composer.json 的顶层（不能塞进 config 或 extra）：
{
"repositories": [
{
"type": "composer",
"url": "https://satis.example.com/"
}
],
"packagist.org": false
}
"packagist.org": false 这一行漏掉，就等于没配私有仓库；写成 "packagist": false 或 "packagist.org": null 都无效。
私有仓库 URL 末尾斜杠 / 必须保留
Artifactory、Satis 或自建 Composer 源的 URL，末尾的 / 是协议约定的一部分。Composer 会拼接 packages.json，例如：
- ✅ 正确：
"url": "https://satis.example.com/"→ 请求GET https://satis.example.com/packages.json - ❌ 错误：
"url": "https://satis.example.com"→ 请求GET https://satis.example.compackages.json（404）
常见踩坑点：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Nginx/Apache 配置中用了
rewrite强制跳转，但没处理packages.json路径，导致重定向后路径错乱 - 使用 CDN 或反向代理时，URL 重写规则意外截掉了末尾
/ - Artifactory 创建仓库时选了 Generic 类型，而非
composer类型，即使 URL 对了也会返回空响应或 404
同名包覆盖生效的三个硬性条件
要让私有仓库里的 monolog/monolog 真正替代 packagist.org 上的同名包，以下三点缺一不可：
-
repositories中该私有源的type必须是"composer"（不是"vcs"，"vcs"只用于单个 Git 仓库，不参与全局包名匹配） - 私有源中必须实际包含
monolog/monolog的完整元数据（即packages.json里有对应条目），Satis 构建时需确认"require": {"monolog/monolog": "*"}或"require-all": true已启用 - 私有包的
name字段必须与require中完全一致：大小写、分隔符（/）、无多余空格——"monolog/monolog"≠"Monolog/Monolog"
验证是否覆盖成功：运行 composer show monolog/monolog，看输出中的 source 地址是否指向你的私有 URL，而不是 https://github.com/Seldaek/monolog。
CI/CD 环境下容易被忽略的认证和缓存问题
本地能装上，CI 流水线却 fallback 到 packagist.org，大概率是环境隔离导致的配置缺失：
-
auth.json不会被上传到 Git，CI 机器上必须单独注入：用composer config --auth http-basic.satis.example.com username token或挂载文件到$COMPOSER_HOME/auth.json - Docker 构建时若复用旧 layer，
composer install可能读取了缓存的vendor/和composer.lock，而 lock 文件里记录的是 packagist.org 的 dist URL —— 必须加--no-cache或清空vendor/和composer.lock后重装 - 某些 CI 平台（如 GitHub Actions）默认禁用
http-basic凭据自动填充，需显式设COMPOSER_AUTH环境变量为 JSON 字符串
最稳妥的验证方式：在 CI 机器上手动执行 composer install -v，观察日志中是否出现 Reading packages.json from https://satis.example.com/packages.json，而不是 Reading packages.json from https://repo.packagist.org/packages.json。
