ci中不能直接写path仓库到composer.json，因为ci是clean checkout，硬编码的相对路径（如../my-local-package）在ci机器上不存在，会导致构建失败或静默回退到packagist.org装错包。
CI中为什么不能直接写repositories到composer.json
CI环境通常是clean checkout，每次拉代码都是全新目录。如果把path仓库硬编码进项目级composer.json，会导致：本地开发能跑通，但CI构建失败（因为路径../my-local-package在CI机器上根本不存在）；或者更糟——CI误用该配置去尝试链接一个不存在的路径，Composer静默跳过并 fallback 到 packagist.org，最终装错包甚至报Could not find package。
常见错误现象：composer install成功退出，但日志里始终出现packagist.org，说明path根本没生效；或者报Source directory ../xxx does not exist，但你确认路径没错——其实是当前工作目录和composer.json所在目录不一致导致的相对路径解析失败。
-
path仓库只在本地开发有意义，CI必须绕过它 - 项目级
repositories字段会完全覆盖全局镜像配置，哪怕你只想临时加一个path - CI脚本里直接
sed -i改composer.json风险高：易出错、难回滚、污染Git工作区
用COMPOSER_REPOSITORIES环境变量注入path仓库
这是唯一安全、可逆、不碰源码的方案。Composer 2.2+ 支持COMPOSER_REPOSITORIES环境变量，值为JSON字符串，可动态覆盖composer.json中的repositories字段，且优先级高于项目配置。
示例（GitHub Actions）：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
env:
COMPOSER_REPOSITORIES: '[{"type":"path","url":"/home/runner/work/myapp/my-local-package"}]'
run: composer install --no-dev --optimize-autoloader --classmap-authoritative
- URL必须是CI机器上的绝对路径，不能用
../等相对写法 - 路径末尾不加
/，也无需确保目标目录存在——Composer会在install时校验，失败则报明确错误 - 该变量只对当前命令生效，退出即失效，不会污染后续步骤
- 若同时需镜像源（如阿里云），可叠加
COMPOSER_REPO_PACKAGIST，两者互不干扰
配合composer config --unset repositories清理残留
有些项目模板（如Laravel官方脚手架）自带"repositories": {"packagist.org": false}，这会彻底禁用所有外部源，导致COMPOSER_REPOSITORIES也被忽略。此时必须先清除项目级配置。
推荐在CI脚本开头执行：
composer config --unset repositories composer clear-cache
-
--unset不带-g，只作用于当前项目，不影响其他任务 - 必须
clear-cache，否则Composer可能复用旧缓存里的元数据，仍连packagist.org - 执行后可用
composer diagnose | grep "Repo:"验证是否只剩repo.packagist（即全局镜像）或空行（表示无项目级源）
验证path仓库是否真被识别
别信“命令没报错就成功了”。真正起效的标志只有两个：
- 运行
composer install -vvv，日志中出现Loading repository with type path，且路径与你设置的完全一致 -
vendor/my-local-package目录下是符号链接（Linux/macOS）或真实文件（Windows），而非下载的zip包 - 执行
composer show vendor/my-local-package，输出中source字段显示type : path，而非dist或vcs
最容易被忽略的是：CI机器上my-local-package目录权限问题。即使路径对、变量设对，若composer进程无权读取该目录，它会静默跳过path源，转而尝试从packagist.org安装——这时show命令会显示远程版本号，而非本地代码的当前commit hash。
