Composer因企业防火墙拦截HTTPS连接导致失败，最有效解决方式是全局或项目级配置国内镜像源（如阿里云或清华源），完全绕过packagist.org域名和境外IP。
Composer 因企业防火墙拦截导致连接失败的典型错误
企业内网常见现象是 composer install 或 composer update 卡在 https://packagist.org/packages.json，最终报错如：cURL error 7: Failed to connect to packagist.org port 443 或 Connection timed out。这不是 Composer 本身问题，而是出口防火墙默认只放行 80/443，但部分企业策略会拦截 HTTPS 域名解析、SNI 指纹或 TLS 握手行为。
直接配置 Packagist 镜像源（最有效且无需网管介入）
绕过防火墙最稳妥的方式不是开白名单，而是换源——把所有请求导向国内可信镜像，完全避开 packagist.org 域名和境外 IP。
- 全局设置（推荐）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 项目级设置（临时验证）：
composer config repo.packagist composer https://mirrors.tuna.tsinghua.edu.cn/composer/ - 镜像源必须用
https://协议，否则 Composer 8.2+ 会拒绝加载 - 清华源和阿里云源均支持完整元数据同步，更新延迟通常
若必须走官方源：需网管配合开放的最小端口与域名
仅当合规审计强制要求直连 packagist.org 时，才需申请白名单。注意：不是只开 443 端口就完事。
- 必须放行的域名：
packagist.org、repo.packagist.org（v2 API 主入口）、files.phpcomposer.com（旧版文件分发，部分 legacy 包仍依赖） - 必须放行的端口：
443（HTTPS），80（部分重定向或健康检查会 fallback） - 关键但常被忽略：需允许 SNI 扩展中携带
repo.packagist.org，否则 TLS 握手失败（表现为 cURL 35 错误） - 不建议尝试改用非标端口（如 8443）——Packagist 官方不提供非标端口服务，Composer 也不支持自定义端口配置
验证是否真正生效：别只看 composer update 成功
很多情况下命令看似跑通，实则命中了本地缓存或降级到 HTTP（危险！）。务必确认实际流量路径。
- 加
-vvv参数观察真实请求地址：composer update -vvv 2>&1 | grep "Downloading"，确认 URL 是镜像源或repo.packagist.org - 用
curl -I https://repo.packagist.org/packages.json手动测试，检查响应头中的Server和X-Mirror-From（镜像源特有） - 抓包验证（如企业允许）：
tcpdump -i any port 443 and host repo.packagist.org -w packagist.pcap，确认 TCP 握手和 TLS Client Hello 中的 SNI 正确
企业环境下，镜像源是默认首选；白名单是兜底手段，而 SNI 放行是白名单里最容易漏掉的一环。
