必须带末尾斜杠，因composer 2.2+会将无斜杠url（如https://mirrors.aliyun.com/composer）静默回退至官方源，导致packages.json请求404或空响应，且不报错；正确格式为https://mirrors.aliyun.com/composer/。
直接执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 就能生效，但漏一个斜杠、少一个引号、或用户权限不对，composer install 就会继续卡在 0 B/s，且不报错。
为什么 composer config -g 命令必须带末尾斜杠
Composer 2.2+ 版本对 URL 格式极其敏感：https://mirrors.aliyun.com/composer（无斜杠）会被静默 fallback 到官方源，packages.json 请求返回 404 或空响应，而 composer diagnose 仍显示 Repo packagist.org is default，你完全察觉不到。
- 正确写法只有一种：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（结尾必须且仅有一个/） - 验证是否成功：运行
composer config -g repo.packagist，输出必须是完整 JSON，形如{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 别手写
~/.composer/config.json——格式错一个逗号或引号就导致整个配置失效 - 旧键名
repos.packagist（少个o）是 Composer 1.x 遗留写法，2.0+ 已废弃，设了也无效
项目级配置会清空 repositories，不是追加
进项目目录后执行 composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加 -g），这条命令不是“添加镜像”，而是**全量替换 composer.json 中的 repositories 字段**。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 如果项目原本有私有源（比如
"my-private": {"type": "vcs", "url": "https://git.example.com/pkg"}），执行后整个repositories就只剩阿里云镜像，私有包直接拉不到 - 要保留原有源，得手动编辑
composer.json：在repositories里加一项"packagist": {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}，同时确保根节点有"packagist.org": false - 检查是否被覆盖：运行
composer config -l | grep repositories.packagist，或直接打开composer.json搜索repositories
composer.lock 有旧记录时，install 必然 hash 不匹配
旧 composer.lock 文件里存的是从官方源下载的包哈希和 dist URL。切换镜像后，Composer 仍按原路径去阿里云找 zip 包——但阿里云的 dist 映射路径与官方不同，结果就是校验失败，报类似 The contents of ... do not match its signature 的错误。
- 最稳妥做法：删掉
vendor和composer.lock，再跑composer install - 想保留 lock 文件？可强制重生成：先
composer update --lock，但它仍可能因元数据差异失败，不如清干净来得快 - CI/宝塔等环境尤其要注意：这些系统常以
www或jenkins用户身份运行 Composer，而-g配的是你当前用户的配置，得确认实际执行者是谁，再配对应用户的~/.composer/config.json
换源后下载还是慢？大概率没真正走镜像
换源成功 ≠ 所有请求都走阿里云。Composer 分两步：先读 packages.json（元数据），再按 dist.url 下 zip 包。阿里云镜像虽自动映射 dist，但前提是项目里没硬编码 dist-url，也没在 composer.json 里写死其他源的 dist 地址。
- 运行
composer update -vvv，看日志里Downloading http://的域名是不是mirrors.aliyun.com；如果不是，说明 zip 还是从 github.com 或 packagist.org 拉 - 删掉项目
composer.json中所有"dist-url"字段，避免干扰 - 某些内网环境会卡在 DNS 或 HTTPS 证书校验上，用
curl -I https://mirrors.aliyun.com/composer/packages.json看是否返回 200；若报 SSL 错误，需更新系统ca-certificates包
最常被忽略的点：你以为改了全局，其实只改了项目；你以为 URL 对了，其实少了个斜杠；你以为 lock 文件能复用，其实 hash 已失效。每个环节都得单独验证，不能靠“应该可以”。
