composer不支持多级fallback，仅按repositories数组顺序匹配首个声明包的源，网络错误不触发降级；需显式设"packagist.org": false并手动添加官方源至数组末尾兜底，容灾须依赖外部脚本探测+切换+清缓存。
Composer 不支持多级 fallback，所谓“多级”只是顺序匹配 + 显式兜底，不是自动重试机制。 你配十个镜像源，只要第一个返回了包的元数据（哪怕下载超时），后面全被跳过；网络失败也不会往下走——这不是 bug，是 Composer 的设计逻辑。
为什么 repositories 数组不是 fallback 链
Composer 把 repositories 当作静态索引合并源，不是运行时请求代理。它只做两件事：
- 按数组顺序依次请求每个源的
packages.json，合并出一张全局包索引表 - 安装时查这张表，找到第一个声明了该包（
vendor/name）的源，就固定从它拉dist文件
常见错误现象：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer install卡在私有源超时，不切到阿里云镜像 - 把
https://mirrors.aliyun.com/composer/和https://packagist.org都写进repositories，结果官方包仍走慢速源（因元数据合并顺序导致distURL 被覆盖） - 私有源临时不可达，
composer update直接报错退出，而非降级使用packagist.org
packagist.org: false 必须显式写，且位置很关键
一旦你写了 repositories 数组，Composer 就默认保留 packagist.org 作为隐式末尾源——但这不是“fallback”，而是“兜底污染源”。要真正控制流向，必须显式关掉它：
- ✅ 正确：在
composer.json根级（和repositories同级）加"packagist.org": false - ❌ 错误：
"packagist.org": false塞进repositories数组里，或写成{"type": "composer", "url": "https://packagist.org/"} - ⚠️ 如果你还想保留官方源作最终兜底，得手动加回来，并放在
repositories数组**末尾**，且类型为composer：
{
"repositories": [
{"type": "composer", "url": "https://my-private-repo.example.com"},
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"},
{"type": "composer", "url": "https://packagist.org"}
],
"packagist.org": false
}
真容灾：靠脚本探测 + 切换 + 清缓存
所谓“多级 fallback”只能由外部脚本驱动，在 composer install 前动态决定用哪个源。核心三步：
- 用
curl -I -s -o /dev/null -w "%{http_code}" https://xxx/packages.json探活镜像根路径 - 按优先级顺序试一圈，取第一个返回
200的 URL - 执行
composer config repositories.packagist url https://xxx动态写入（注意：会覆盖整个repositories数组，脚本需保留原始结构） - 强制清缓存：
composer clear-cache，避免旧packages.json干扰
最容易被忽略的是：镜像配置 ≠ 容灾配置。很多人配了阿里云镜像就以为高枕无忧，却没开 security.signature 验证、没固化 composer.lock、也没在 CI 中复用 ~/.composer/cache —— 结果镜像一延迟，构建照样失败。
