repositories中包未被拉取是因为其仅在require中包名完全匹配时生效，且需满足version可解析；type:vcs适合动态版本管理，type:package需手动维护元信息；覆盖官方包须确保minimum-stability兼容版本稳定性。
为什么 repositories 里加了包却没被拉取？
因为 Composer 默认只从 packagist.org（或你配置的全局源）找包，repositories 不是“追加搜索”，而是“优先匹配”——它只在你显式声明了该包名时才生效，且必须满足 name 完全一致 + version 可解析。
- 常见错误：在
repositories里配了一个私有 Git 仓库，但require写的是"monolog/monolog": "^2.0"，而你的仓库 name 是"myorg/monolog"→ 不匹配，Composer 直接忽略你的源 - 正确做法：你要覆盖哪个包，
repositories里的package.name必须和require中的完全一致，比如想换掉symfony/console，就写"name": "symfony/console" - 如果你只是想加速安装，别用
repositories覆盖，改用composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/更直接
type: package 和 type: vcs 怎么选？
type: vcs 适合你有完整 Git/Svn/Hg 仓库、想按 tag/branch 安装；type: package 适合你只有 zip/tar 包或想硬编码某个版本的元信息（比如打补丁后重新打包）。
-
vcs：自动探测分支和 tag，支持dev-main、1.2.x-dev等动态版本，但要求远程仓库有标准composer.json -
package：需手动写version、dist、source，不依赖 Git，但无法响应上游变更，每次更新都要改composer.json - 性能影响：
vcs首次运行会git clone --mirror，耗时略长；package直接下载 dist，更快但维护成本高
覆盖官方包时，minimum-stability 和 prefer-stable 怎么配合？
你用 repositories 提供了一个 dev-master 版本，但项目设了 "minimum-stability": "stable"，Composer 就会无视它——不是配置失效，是稳定性规则先于源匹配起作用。
- 必须确保你的替代包 version 字符串符合当前
minimum-stability：比如要装dev-fix-logging，就得把 stability 设成dev，或加"prefer-stable": true并显式 require"myvendor/package": "dev-fix-logging as 1.2.3" - 容易踩的坑：在
package类型中写"version": "dev-main"，但没调低minimum-stability→ Composer 报错Could not find package ... at version dev-main - 推荐做法：临时调试用
composer require vendor/package:dev-main --stability=dev，确认可行再固化到repositories
私有 Git 仓库认证失败：token、SSH、HTTPS 怎么填？
Composer 访问私有 Git 仓库时，认证失败往往不是配置错，而是凭据没落到对的环节——repositories 本身不存 token，它靠系统级凭据代理（Git config / ~/.netrc / SSH agent）。
- 用 HTTPS：在
repositories.url写https://oauth2:<code>TOKEN@gitlab.example.com/group/repo.git（注意 URL 编码 TOKEN 中的特殊字符） - 用 SSH：确保
url是git@gitlab.example.com:group/repo.git，且本地ssh-add -l能列出对应 key - 别在
repositories里写options.auth或类似字段——Composer 不识别，纯属无效配置 - 验证方式：
git ls-remote https://.../repo.git或git ls-remote git@...:repo.git能通，Composer 才可能通
最常被忽略的一点：替换包后，composer.lock 里记录的是原始包的哈希和 source URL，下次 install 仍会尝试拉原地址——必须 composer update vendor/package --with-dependencies 强制刷新 lock 文件，否则一切配置都是空转。
