在使用 Composer 管理 PHP 项目依赖时，有时需要完全控制某个包的来源，尤其是当该包不在 Packagist 上、需要使用私有版本或希望绕过默认镜像时。通过 composer.json 中的 repositories 配置，可以实现对特定依赖的“终极控制”——即强制指定其下载源和版本。

理解 repositories 的作用

repositories 允许你定义额外的包来源。Composer 默认从 Packagist 拉取包，但你可以添加自定义的 VCS（如 Git）、HTTP 或 package 类型仓库来覆盖特定包的获取方式。

其中，package 类型仓库提供了最直接的控制权，因为它允许你手动声明一个包的存在，包括名称、版本、dist 或 source 来源，甚至可指定特定的分支或 commit。

使用 package 类型仓库强制指定来源

假设你需要强制使用某个 fork 的 monolog/monolog，并且只接受特定 commit，可以通过如下配置：

将涂鸦和照片转化为插画，将线稿转化为完整的上色稿。

{
    "repositories": [
        {
            "type": "package",
            "package": {
                "name": "monolog/monolog",
                "version": "2.0.0",
                "dist": {
                    "url": "https://example.com/dist/monolog-2.0.0.zip",
                    "type": "zip"
                },
                "source": {
                    "url": "https://github.com/your-fork/monolog.git",
                    "type": "git",
                    "reference": "a1b2c3d4e5f67890"
                },
                "autoload": {
                    "psr-4": { "Monolog\": "src/" }
                }
            }
        }
    ],
    "require": {
        "monolog/monolog": "2.0.0"
    }
}

这样配置后，Composer 将完全忽略 Packagist 上的 monolog/monolog，转而使用你在 package 中定义的版本与来源。

关键控制点说明

• 精确版本绑定：必须显式写出版本号，且 require 中引用的版本需完全匹配。
• dist 优先于 source：如果同时提供 dist 和 source，Composer 会优先尝试下载 dist 包；若失败则回退到 source。
• 避免冲突：不要在同一项目中为同一个包定义多个仓库，否则可能导致不可预测的行为。
• 安全性考虑：确保自定义 URL 来源可信，特别是 dist 的 url 可能被劫持或篡改。

实际应用场景

• 公司内部维护了一个闭源修改版的开源组件，需脱离公共源独立引入。
• 临时使用 fork 修复 bug，但 PR 尚未合并，也无法用 VCS 方式稳定引用。
• 某些环境无法访问 GitHub，需通过内网镜像提供 zip 包。

此时，package 类型仓库是最可靠的选择，它不依赖外部元数据，完全由你掌控。

基本上就这些。只要配置正确，Composer 会严格按照你的定义拉取依赖，实现真正的“终极控制”。