composer通过"repositories"字段配置自定义仓库，支持vcs、package、path、artifact、composer五种type，需严格匹配协议要求与元数据格式，否则报错。
Composer 怎么配置自定义存储库（repository）？
Composer 支持在 composer.json 中通过 "repositories" 字段声明非 Packagist 官方的包来源，核心是明确指定 "type" 和对应协议所需的元数据。不写 "type" 或类型不匹配会导致 Package not found 或 Could not parse version constraint 类错误。
最简可行配置示例如下：
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/yourname/private-package"
}
],
"require": {
"yourname/private-package": "^1.0"
}
}
-
"type": "vcs"是最常用类型，支持 Git、SVN、HG，Composer 会自动探测远程仓库类型并抓取composer.json - 若私有 Git 仓库无
composer.json，或想复用已有 ZIP 包，可用"type": "package"手动声明包信息（必须含"name"、"version"、"dist"或"source"） -
"type": "path"用于本地开发调试，值为相对或绝对路径（如"../my-local-package"），启用后需加--prefer-source或设"minimum-stability": "dev"避免跳过 - 所有自定义仓库默认优先级高于 packagist.org；多个仓库时，前面的条目优先匹配
Composer 支持哪些仓库协议和 type 值？
Composer 官方支持的 "type" 共 5 种，每种对应不同协议和使用边界，不是所有都支持 HTTPS/Git 认证或版本别名：
-
"vcs"：Git / GitHub / GitLab / Bitbucket / SVN / Mercurial；支持分支映射为版本（如dev-main→"dev-main"），但要求远程有composer.json -
"package"：纯静态描述，不拉取代码；适用于 ZIP 下载链接、无源码仓库、或需要强制指定版本约束的场景；"dist"必须含"url"和"shasum"（校验用） -
"path"：仅限本地文件系统路径；不走网络，不校验签名；适合快速迭代，但上线前必须替换为真实仓库 -
"artifact"：指向本地或远程 ZIP/TAR 归档目录（如"./artifacts/"）；Composer 扫描该目录下所有归档包，按文件名解析包名与版本；不支持分支，只认name-version.zip格式 -
"composer"：对接私有 Packagist 兼容服务（如 Satis、Private Packagist、JFrog Artifactory）；URL 必须指向含packages.json的服务根路径
为什么配置了 repository 却还是找不到包？
常见失败不是因为语法错，而是协议层或权限/结构不匹配：
- Git 私有仓库未配置 SSH key 或 HTTPS token，导致
Cloning into ... fatal: Could not read from remote repository；建议先手动git clone验证连通性 -
"type": "vcs"指向的 Git 仓库根目录没有composer.json，或该文件里"name"与require中写的不一致（注意大小写和 vendor 名） - 用了
"type": "package"却漏了"shasum"（即使"dist"是 HTTP 链接也强制需要），报错类似Invalid package information: shasum is missing - 私有 Composer 服务（
"type": "composer"）返回 401 或 404，通常因 URL 少了末尾/，或服务未开启packages.json路由（如 Satis 需生成后才可访问） - PHP 版本或 Composer 版本过低：低于 Composer 2.0 不支持
"artifact"；低于 2.2 对某些 Git 主机（如 newer GitLab API）兼容性差
安全与性能容易被忽略的点
自定义仓库不是“开了就行”，尤其在 CI/CD 或团队协作中：
- 所有
"vcs"类型操作默认走git clone --no-checkout，但若仓库巨大且只用一个 tag，建议改用"dist"源（ZIP）+"shasum"，避免拉完整历史 -
"path"类型在composer install时不会校验包内容一致性，CI 环境应禁用或用脚本清理，否则可能混入本地脏代码 - GitHub/GitLab 私有仓库若用 Personal Access Token，Token 权限至少要含
repo（Git）或read_package_registry（Packages）；放在auth.json里比硬编码在composer.json安全 -
"artifact"目录若含恶意 ZIP（如含 .phar 或递归符号链接），解压时可能触发路径遍历；生产环境务必限制归档来源和文件名白名单
真正麻烦的从来不是写几行 JSON，而是仓库类型选错、校验缺失、或权限链断在某个环节——建议每次加新仓库，都用 composer show -r 确认它是否被识别，再用 composer depends vendor/package 验证依赖图是否闭合。
