技术博客
它只检查 composer.lock 中已安装的依赖，不扫描源码或自定义代码。结果来自 Packagist 官方维护的 [Security Advisory Database](https://github.com/composer/advisories)，覆盖主流 PHP 包（如 monolog/monolog、laravel/framework），但不会报出未收录的私有包或未公开披露的 0day。
直接在包名后面加 dev-分支名 即可，Composer 会自动从对应仓库拉取该分支的最新提交。这不是“安装分支”，而是把分支当作一个开发版本（version）来引用。
FileDiffs 插件官方推荐且最可靠的安装方式就是通过 Package Control——它自动处理路径、依赖和后续更新。手动克隆仓库（比如 git clone https://gitcode.com/gh_mirrors/su/SublimeFileDiffs）只适合你要改源码的极少数情况；否则极易因 Packages 目录位置识别错误导致插件不加载，连菜单都出不来。
Sublime Text 本身不解析 HTML，不能像浏览器那样“识别链接”，但用正则批量提取 <a href="…"></a> 或 href="…" 这类文本非常高效——前提是 HTML 格式相对规整，且你清楚正则的边界和陷阱。
这通常不是网络问题，而是 Composer 没法通过 SSH 访问私有 Git 仓库。Composer 默认走 HTTPS 协议拉取包，但你的私有仓库只开了 SSH（比如 git@git.example.com:org/pkg.git），而 SSH 密钥没配好或没被 Composer 正确使用。
Composer 默认走 packagist.org，国内直连慢且常超时。改优先级不是“加个镜像”就行，而是要控制「仓库发现顺序」和「包匹配逻辑」——关键在 composer.json 的 repositories 配置方式。
本文详解 fastify 配合 @fastify/websocket 在启用 https（即 wss）时连接失败的典型原因与完整解决路径，涵盖证书配置、服务端注册顺序、客户端连接方式及调试要点。
本地镜像没生效，最常见原因是 composer.json 或全局配置里没真正切换源。Composer 优先级是：命令行参数 > 当前项目 composer.json 的 repositories > 全局 config（composer config -g repos.packagist）。如果项目里写了 "packagist.org": false 却没配自己的镜像地址，它会 fallback 到官方源。
直接装 dev- 开头的版本名就行，Composer 会自动识别为开发分支而非稳定版。比如想装 monolog/monolog 的 main 分支，命令是：composer require monolog/monolog:dev-main注意不是 dev-main@dev，也不是加 –stability=dev——后者只影响依赖解析策略，不指定具体分支。
Composer 本身不支持“为单个项目单独配置授权码”，所谓“项目授权码”其实是通过 auth.json 文件在项目目录或全局位置声明凭证，让 Composer 在访问私有仓库（如 Packagist.com 私有包、GitHub Packages、GitLab Composer Registry）时能自动携带 token 认证。