composer Откуда берёт, качает пакеты -- как ищет пакет (repositories)

Откуда

Вообще основным (стандартным) источником пакетов для composer является сайт https://packagist.org/ куда все "серёзные" пакеты и загружаются.

"Нестандартный" адрес

Но также есть возможность закачки с VCS-сайтов (типа github.com) -- для чего придётся указать адреса репозиториев в специальной json-секции с именем repositories (например).
Но это не всегда удобно, например, возможны проблемы с деревом зависимостей.

Как происходит поиск

Композер ищет, условно говоря, "директорию" в корне которой лежит манифест, в котором указано имя пакета (name) совпадающее с тем именем, что указано в списке зависимостей (например). Адрес же поиска может быть различным, как это было сказано выше.