canonical仓库是PHP包的官方主源，如Packagist，提供完整可信的元数据，被Composer优先信任；non-canonical仓库则是镜像或代理源，如Satis或国内加速器，可能数据不完整，需回源验证，影响性能。
在 Composer 中，"canonical" 和 "non-canonical" 是用来描述包仓库来源的术语，主要影响包信息的获取方式和性能优化。
什么是 canonical 仓库
一个 canonical 仓库 指的是某个 PHP 包的“官方”或“主”仓库。它是最原始、最权威的信息来源。例如，如果你使用 Packagist.org 上的一个开源库，那么 Packagist 就是这个包的 canonical 仓库。
Composer 在安装包时，默认会从 canonical 仓库获取完整的元数据（如版本号、依赖关系等）。因为它是可信且完整的数据源，所以 Composer 优先信任它。
特点包括：
- 包含完整的包元信息
- 通常是 Packagist 或私有 Packagist 实例
- 被标记为“权威来源”
- Composer 会直接从此仓库下载
composer.json和版本列表
什么是 non-canonical 仓库
Non-canonical 仓库 是指非主源的仓库，它可能只是镜像、代理或部分同步了 canonical 仓库的数据。比如你配置了一个私有 Satis 镜像，或者使用了某些国内镜像加速服务，这些都属于 non-canonical。
这类仓库虽然能提供包的 zip 文件或部分信息，但它们不保证元数据是最新的或完整的。Composer 在处理 non-canonical 仓库时会更加谨慎。
常见情况有：
- 使用镜像站点（如阿里云 Composer 镜像）
- 私有 Satis 或 Toran Proxy 实例作为缓存层
- 通过 VCS（Git）方式添加的第三方库地址
当仓库被标记为 non-canonical，Composer 可能不会完全依赖它的元数据，而是回退到检查原始源（如 GitHub）来确认版本信息，以确保准确性。
实际影响与使用建议
这个区别对日常使用影响不大，但在高级场景中需要注意：
- 设置镜像时，如果镜像不同步最新版本，可能会导致无法安装新发布的包
- 私有仓库若未正确配置为 canonical，Composer 可能频繁访问公网验证信息，降低性能
- 使用
composer config repos.packagist.org false禁用默认源后，再添加自定义源时，需注意是否应设为 canonical
基本上就这些。理解这两个概念有助于更好管理私有包、优化安装速度和排查依赖问题。
