私有包404/403错误主因是repositories配置缺失type、url不合法、auth.json认证失败或分支不存在；须明确设"type":"vcs"、url以.git结尾、token权限匹配且auth.json权限为600，并用composer diagnose和-vvv定位真实响应。
私有包 404 或 403 错误时 Composer 直接中断
Composer 在 composer install 或 composer update 过程中遇到私有包拉取失败（比如 Git 仓库不存在、权限不足、VCS 配置错误），默认会直接报错退出，错误信息通常是 Failed to download vendor/package: The package could not be found. 或更具体的 Could not fetch https://github.com/xxx/yyy.git, enter your GitHub credentials...。这不是网络超时，而是认证或路径层面的硬失败。
常见诱因包括：composer.json 中写错了仓库 URL、未配置正确的 VCS 类型、未在 auth.json 中提供 token、Git 服务（如 GitHub/GitLab）上该仓库已删除或设为私有但当前 token 无访问权限。
必须显式声明私有仓库类型和 URL
仅靠 "repositories" 列表加一个 URL 不够。Composer 默认按包名猜测源类型，对私有包极不可靠。必须明确指定 "type": "vcs" 并确保 URL 是可克隆的 Git 地址（以 .git 结尾）。
{
"repositories": [
{
"type": "vcs",
"url": "https://gitlab.example.com/mygroup/mypackage.git"
}
],
"require": {
"mygroup/mypackage": "^1.0"
}
}
- URL 必须能被
git clone直接执行，不能是 Web 页面地址（如https://gitlab.example.com/mygroup/mypackage） - 如果使用 SSH，URL 应为
git@gitlab.example.com:mygroup/mypackage.git，且本地 SSH key 已添加到对应平台 - 避免在
repositories中混用"packagist": false—— 它禁用全部 Packagist，可能导致其他依赖无法解析
auth.json 配置 token 要匹配域名和协议
GitHub/GitLab 等平台要求 token 具备对应仓库的读取权限，且 auth.json 中的 host 必须与实际请求域名完全一致（含端口、子域）。Composer 不做域名归一化。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
例如 GitLab 自托管实例 https://gitlab.example.com:8443，auth.json 必须写成：
{
"http-basic": {
"gitlab.example.com:8443": {
"username": "token",
"password": "glpat-xxxxxx"
}
}
}
- HTTP Basic 认证不适用于 GitHub；GitHub 必须用
github-oauth字段 + personal access token - token 权限至少要包含
read_package_registry（GitLab）或repo（GitHub） -
auth.json文件权限必须是600（chmod 600 auth.json），否则 Composer 会忽略它
调试时优先运行 composer diagnose 和 -vvv
composer diagnose 会检查 auth.json 权限、仓库可访问性、SSL 配置等基础项，比盲猜快得多。而 composer update -vvv 会打印完整 HTTP 请求头、重定向链和响应体，关键线索常藏在 Reading composer.json of mygroup/mypackage (dev-main) 后面的 404/403 响应里。
特别注意：如果私有包本身 composer.json 中定义了 "repositories"，Composer 会递归合并——这可能意外覆盖主项目的仓库配置，导致拉取路径错乱。这种嵌套声明极少必要，建议一律扁平化到根项目配置。
私有包的版本约束（如 "dev-main"）若对应远程分支不存在，也会触发 404；此时错误看起来像仓库问题，实则是分支名拼写错误或尚未推送。
