答案是必须用Satis构建静态镜像：需设require-all为true、archive块完整、每个私有包单独声明type；全局镜像须为repo.packagist且含type和https结尾斜杠，项目级repositories也须注册同名内网源。
局域网里不能“同步第三方缓存”，只能构建静态镜像
Composer 没有“缓存同步”机制，所谓“同步 Packagist 第三方包到内网”，本质是用 Satis 构建一个可被 HTTP 访问的静态镜像服务。直接 rsync 或 git clone packagist.org 的元数据或 ZIP 包，对 Composer 完全无效——它根本不会识别那些文件结构。
关键点在于：Satis 生成的是符合 Composer 协议的 packages.json + dist/*.zip 文件树，必须由 Web 服务器（如 Nginx）提供 https://packagist.internal/ 这类 URL 才能被 composer install 正确请求。
-
require-all: true必须设为true，否则只拉项目require里显式写的包，其他 tag/dev 分支全丢 -
archive块不可省略：必须含{"directory": "dist", "format": "zip", "skip-dev": true}，否则 CI 构建时 fallback 到git clone，而内网通常禁用 git 协议 - 每个私有 VCS 仓库要单独声明：
{"type": "vcs", "url": "https://gitlab.internal/myorg/sdk.git"}，写成字符串或漏type，Satis直接跳过
为什么 repositories 里写 path 协议在局域网里彻底失效
{"type": "path", "url": "./packages/*"} 看似方便，实则仅限当前机器本地文件系统生效。它不启动任何 HTTP 服务，其他机器无法通过 http:// 访问；file:// 协议在 Docker、CI Runner、不同用户权限下基本不可用；更重要的是，它不生成 packages.json 元数据，composer require monolog/monolog 会直接报 Could not find package。
真正能跨机器共享的，只有 Satis 生成的静态文件 + Web 服务。删掉本地目录，整个依赖树就崩，毫无容错能力。
全局镜像配置 repo.packagist 必须严格校验
运行 composer config -g repo.packagist，输出必须是：
{"type":"composer","url":"https://packagist.internal/"}
三个硬性条件缺一不可：
- 键名必须是
repo.packagist（不是repos.packagist或packagist.org） -
type字段不能丢，否则 Composer 静默 fallback 回官方源 -
url必须带https://和末尾斜杠；http://在新版 Composer 默认被拒绝，除非加--allow-http
如果输出为空或报错，大概率是 PHP 禁用了 proc_open 或 putenv，需检查 php.ini 并重启 PHP 服务。
项目级 repositories 数组必须手动声明私有源
镜像源（如 https://packagist.internal/）只代理 packagist.org 的公开元数据，对 "type": "vcs" 私有仓库完全无感知。哪怕你已配好内网镜像，composer install 仍会跳过 GitLab 私有包——除非你在项目 composer.json 的 repositories 数组里显式列出：
[
{"packagist.org": false},
{"type": "composer", "url": "https://packagist.internal/"},
{"type": "vcs", "url": "https://gitlab.internal/myorg/private-sdk.git"}
]
注意顺序：私有源条目建议放数组末尾，但 {"packagist.org": false} 必须放在首位，否则 Composer 在私有源未命中时仍会 fallback 到官方源。
切换镜像前，务必删掉 vendor/ 和 composer.lock，再跑 composer install --no-cache -v，从终端日志确认真实请求的 URL 是否为你预期的内网地址——这是唯一可靠的验证方式。
