Composer 添加私有 Git 仓库需在 composer.json 的 repositories 中配置 type: vcs 和可克隆的 Git URL，私有包 composer.json 必须声明匹配的 “name”，HTTPS 方式需通过 auth.json 配置 Token，SSH 方式需预置密钥，更新时注意版本约束与缓存问题。
Composer 怎么添加私有 Git 仓库作为包源
Composer 本身不直接“托管”私有包，而是通过配置 repositories 告诉它：某个包的 ZIP 或源码在哪、怎么拉。关键不是“上传包”，而是“让 composer install 知道去哪找”。
GitLab/GitHub 私有仓库只要能被 Composer 机器访问（SSH 或 HTTPS + 凭据），就能当包源用。不需要额外发布到 Packagist。
- 必须用
type: vcs，不能写成package或composer - URL 必须是可克隆的 Git 地址（如
[email protected]:team/utils.git或https://gitlab.example.com/team/utils.git） - 如果用 HTTPS，需提前配置 Git 凭据或启用
git config --global credential.helper store，否则交互式密码输入会卡住 CI - SSH 方式更稳，但需确保运行 Composer 的用户（如 CI runner）已部署对应 SSH key 且
~/.ssh/config配置正确
为什么 composer require vendor/package 找不到私有包
默认只查 packagist.org。即使你已在 composer.json 里加了 repositories，也得满足两个前提才能被识别：
- 私有仓库的
composer.json中必须声明"name"，格式为"vendor/name"（如"acme/utils"），且和require时写的完全一致 -
"version"字段非必需，但建议在composer.json里设一个稳定值（如"1.0.0"）或使用分支别名（"dev-main as 1.0.x-dev"），否则 Composer 可能拒绝安装 - 若用
dev-分支名（如dev-feature/login），需显式指定：composer require acme/utils:dev-feature/login - 执行
composer update --lock后检查composer.lock是否真写入了该包的source信息，避免缓存误导
GitLab Personal Access Token 怎么配进 Composer
HTTPS 拉取私有 GitLab 仓库时，Token 是最可控的认证方式。不能直接塞进 URL（有泄露风险），要用 Composer 的 auth.json。
