阿里云镜像是目前唯一稳定可用的composer国内全量源，其他镜像已停更、延迟或证书失效；换源不生效主因是版本键名不匹配（2.2+需用repositories.packagist.org）、配置被项目级repositories屏蔽、缓存未清、lock文件未更新及url协议/斜杠错误。
阿里云镜像是目前唯一稳定可用的 Composer 国内全量源，其他镜像已停更、延迟或证书失效，换源不生效基本都卡在这几个地方。
composer config -g repo.packagist 不生效？查版本和键名匹配
Composer 2.2+ 已弃用 repo.packagist 键名，改用 repositories.packagist.org。执行命令前先确认版本：composer --version。若输出是 2.7.6 这类 2.x 版本，必须用新键名：
composer config -g repositories.packagist.org composer https://mirrors.aliyun.com/composer/- 旧命令
composer config -g repo.packagist ...在 2.2+ 中会被静默忽略，不报错也不写入 - 项目级
composer.json中只要出现repositories字段（哪怕空数组），就会完全屏蔽全局配置 - Windows 下 Git Bash 可能误读
%APPDATA%\Composer\config.json，而非~/.composer/config.json，建议直接编辑该文件验证
换源后怎么确认真生效了？看三处输出
别信“配置成功”提示，得实锤验证：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查配置值：
composer config -g repositories.packagist.org，输出必须是https://mirrors.aliyun.com/composer/，不是空、不是packagist.org - 跑诊断：
composer diagnose，找到 “Repo:” 行，域名必须含mirrors.aliyun.com - 抓真实请求：
composer -vvv show -p | head -1，第一行 URL 应含镜像地址；更彻底可composer -vvv update --dry-run，日志里所有Downloading行都该走阿里云域名
临时切源只对 install/update 生效，require 不认 --repository-url
CI 脚本或临时调试时想绕过全局配置，可用 --repository-url 参数，但它有明确限制：
- 仅
composer install和composer update支持该参数 -
composer require vendor/package --repository-url https://mirrors.aliyun.com/composer/会忽略该参数，仍走默认源 - 若需在
require时强制走镜像，得先确保全局或项目配置已生效，或改用composer config repo.packagist ...项目级设置 - VPC 内网用户应优先用内网地址：
http://mirrors.cloud.aliyuncs.com/composer/（注意是 HTTP，且无 HTTPS）
清缓存和重生成 lock 文件常被跳过，但恰恰是关键步骤
换源后仍从国外下载，大概率是本地元数据没刷新：
- 必须执行：
composer clear-cache，否则旧索引还在本地，请求照发 packagist.org - 若项目已有
composer.lock，它记录的是旧源解析出的 dist URLs，需运行composer update --lock重写 lock 文件中的下载地址 - 遇到
cURL error 60: SSL certificate problem，说明用了已停用的 phpcomposer.com 或 http 地址——阿里云只支持 HTTPS，且末尾斜杠不能少：https://mirrors.aliyun.com/composer/ - 若镜像偶尔返回 404（如新发布的
laravel/framework v11.0.0延迟几小时），可临时加官方源兜底，但别删阿里云配置，否则失去全量同步优势
真正容易被忽略的是：换源不是改个配置就完事，它牵扯到 Composer 版本兼容性、配置优先级、缓存机制、lock 文件语义这四层，任何一层断掉都会回退到默认源。验证时盯住 composer -vvv 日志里的实际 URL，比什么都准。
