技术博客
因为默认行为是去 packagist.org 实时拉取包元数据和 ZIP 文件，哪怕 composer.lock 已存在，composer install 仍会尝试连接远程仓库校验签名、检查更新状态——这步一断网就卡住或报 Could not fetch https://repo.packagist.org/packages.json。
因为默认执行 composer dump-autoload 时，Composer 会尝试检查 composer.lock 是否过期——这需要访问 packagist.org。即使你没改依赖，它也会发起 HTTP 请求，离线即报错：Could not fetch packages information, package information was not updated.
达内不教 ThinkPHP。达内目前公开的 Java、Python、前端（HTML/CSS/JS + Vue/React）、大数据、网络安全等方向课程，教学框架以 Spring Boot、Django、Flask、Vue 3、React 18 等为主。ThinkPHP 未出现在其官网课程大纲、宣传资料或近年学员反馈的授课内容里。
离线环境下 composer install 必然失败——它默认要连 Packagist 或私库拉取元数据和 ZIP 包。但你其实不需要网络，只要提前在有网机器上完成两件事：composer install –no-scripts –no-plugins 生成完整 vendor/，再把整个项目（含 vendor/ 和 composer.lock）打包带走。
国内默认直连 packagist.org 会超时或被重置，create-project 命令卡在“Installing dependencies”前就失败，错误信息通常是 Connection refused 或 Operation timed out。这不是你本地配置错，是网络策略导致的。
必须提前在联网机器上生成完整、可复现的 vendor 快照，仅靠 composer.lock 文件本身不够——它不包含二进制依赖（如 phpunit/phpunit 的 PHAR、laravel/pint 的可执行文件）或某些通过 install 脚本动态生成的资源。
Composer 默认拒绝未经认证的私有仓库访问，直接 composer require 会报 401 Unauthorized 或 403 Forbidden。关键不是改 composer.json，而是让 Composer 知道“你是谁”——这靠 auth.json 文件实现。
直接在 composer.json 的 repositories 中声明一个 path 类型仓库，就能让 Composer 从相对路径加载离线包。这比手动拷贝或 symlink 更可控，也支持版本约束。
直接写 "vendor/package": "dev-main#abc1234" 就行，Composer 会自动识别为「main 分支 + 指定提交哈希」。它不是特殊语法，而是 Composer 对版本约束的原生支持——dev- 前缀表示开发分支，# 后面是 Git commit hash 或 tag 名。
PHP 是解释型语言，没有内置的分支（branch）机制——分支是版本控制系统（如 Git）的功能，不是 PHP 语言或运行时的一部分。你真正要操作的是 Git 分支，而不是“PHP 分支”。常见误解是把 if 分支逻辑、Composer 的包版本分支或部署环境配置误当成“PHP 分支”，这些都和 Git 分支无关。