私有包“Could not find package”主因是Composer未查询私有源，需在composer.json的repositories中正确定义vcs/composer类型源并置于require之前，确保name字段完全匹配、源可访问且含对应版本。
私有包 composer install 报 Could not find package xxx at any version
这通常不是包名写错了，而是 Composer 根本没去你的私有源查——它默认只查 packagist.org。确认你已在 composer.json 的 repositories 里正确定义了私有源（类型必须是 vcs、composer 或 package），且位置在 require 引用该包之前。
实操建议：
- 运行
composer config repositories查看当前生效的源列表，确认你的私有源是否在其中； - 如果用了
composer类型源（比如私有 Packagist 实例），确保该源服务可访问，且返回的 JSON 包列表里真包含你要的包名和版本； - 避免把私有源配在项目根目录外的全局配置（
~/.composer/config.json）里却忘了加--global参数去查； -
vcs类型源不支持自动发现分支/标签，必须在私有 Git 仓库的composer.json里显式声明version或打 Git tag，否则 Composer 会跳过该仓库。
私有源用了 HTTPS，但报 SSL certificate problem: unable to get local issuer certificate
Composer 默认校验证书，而很多内网私有源用的是自签名或内部 CA 签发的证书，系统信任链里没有。
实操建议：
- 临时调试可加
-n跳过交互，再加--no-secure-http=false（不推荐）或更安全的方案：用composer config --global cafile /path/to/internal-ca.pem指向你的企业根证书； - 检查 PHP 的
openssl.cafile配置是否被覆盖，Composer 会继承这个值； - 若用的是 Git over HTTPS，还要确认
git config --global http.sslCAInfo是否指向了同一份证书文件，否则vcs源拉取时仍会失败。
私有包已声明依赖，但 composer update 不解析它的 require 字段
这是 Composer 的“扁平化加载”机制导致的：它只读取根 composer.json 中直接 require 的包的元数据，除非你明确告诉它“这个私有包的依赖也得参与计算”。
实操建议：
- 确保私有包的
composer.json已提交到对应 Git 分支/tag，并能被 Composer 正确抓取（可通过composer show vendor/package dev-main测试）； - 如果是
vcs源，必须使用带版本约束的写法，例如"vendor/package": "dev-main as 1.0.0"，否则 Composer 认为它是“开发版”，默认忽略其依赖； - 运行
composer update vendor/package --with-dependencies强制载入其子依赖，而不是只跑composer update全局刷新。
私有源配置正确，但 CI 环境里始终 401 Unauthorized
本地能装，CI 报认证失败，大概率是凭据没传进去。Composer 不会自动读取环境变量或 Git 凭据管理器里的 token。
实操建议：
- 在 CI 脚本中提前执行
composer config http-basic.your-private-repo.com username token，把凭证存进项目级auth.json； - 避免把 token 写死在
composer.json或代码里，一律通过 CI 的 secret 注入； - 如果私有源是 GitHub/GitLab，注意 Composer 的
http-basic配置只对composer类型源有效，vcs类型需靠 Git 自身凭据（如git config --global url."https://token:@github.com".insteadOf "https://github.com"）。
最常被忽略的一点：私有包的 name 字段必须和 require 中写的完全一致（包括大小写），Composer 不做模糊匹配；哪怕只差一个下划线，也会判定为“找不到”。
