答案：composer默认强制https，需先执行composer config -g secure-http false才能使用http镜像，但会同时导致传输无加密、身份不可验、签名失效等安全风险；推荐始终使用可信https镜像源如阿里云。
Composer 默认只允许 HTTPS 镜像，设成 HTTP 会直接报错，不是改个 URL 就能绕过——必须显式关闭 secure-http 才能生效，但关了它，签名验证和传输加密就全失效了。
为什么 composer config -g repos.packagist http://... 会失败
错误信息长这样：The "http://packagist.phpcomposer.com" repository has a non-HTTPS URL, which is not allowed by default。这不是警告，是硬性拦截。Composer ≥1.0 把 secure-http 设为 true 作为默认策略，只要仓库 URL 以 http:// 开头，且该配置没关，install、update 全部中止。
- 只运行
composer config -g repos.packagist composer http://...不够，必须先执行composer config -g secure-http false - 这个配置影响所有仓库，不只是 packagist；关一次，全局 HTTP 都放行
- 即使你手动编辑
~/.composer/config.json加了 HTTP 地址，没关secure-http，后续命令照样报错
关掉 secure-http 后，实际风险在哪
不是“能用就行”，而是安全链路上多个环节同时失效：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 传输层无加密：HTTP 明文传输，中间人可篡改包内容或元数据
- 服务器身份不可验：没有 TLS 证书校验，无法确认你连的是不是目标镜像站
- 签名验证形同虚设：Composer 的仓库签名（signature）字段在 HTTP 源下不参与校验，
install会 fallback 到无签名模式 - 部分镜像已下线：比如
http://packagist.phpcomposer.com现在返回 404，关了secure-http只会让错误变成Connection refused或超时
想用国内镜像又保安全，应该怎么做
答案很明确：坚持用 HTTPS 镜像，别碰 HTTP。主流可信源都支持 HTTPS：
- 阿里云：
https://mirrors.aliyun.com/composer/ - 腾讯云：
https://mirrors.cloud.tencent.com/composer/ - 华为云：
https://repo.huaweicloud.com/composer/
设置命令是：composer config -g repos.packagist composer https://mirrors.aliyun.com/composer/。不需要动 secure-http，也不需要额外配证书路径——只要系统 CA 信任链正常（Debian/Ubuntu/CentOS 默认满足），就能走完整 TLS 握手 + 包签名校验。
真正容易被忽略的点是：有些企业内网环境会强制代理或劫持 443 流量，导致 HTTPS 镜像反而失败；这时候该排查代理策略或 TLS 中间证书，而不是急着降级到 HTTP——后者不是“临时方案”，是主动拆掉安全护栏。
