composer 404 根因是镜像源失效或 composer.lock 硬编码旧 url：先用 composer config -g repo.packagist 查配置，再 curl -i 测连通性；删 vendor/ 和 composer.lock 后重装，并检查 ssl 证书是否过期。
Composer镜像返回 404 错误，根本不是“包找不到”，而是你当前配置的镜像源本身已失效、未同步或地址写错——比如仍在用 https://packagist.phpcomposer.com（2022年起就返回 404），或阿里云镜像地址漏了末尾斜杠导致 /p2/monolog/monolog.json 路径 404。
怎么一眼确认是不是镜像源挂了
别猜，直接查配置并测连通性：
- 运行
composer config -g repo.packagist，如果输出是{"url":"https://packagist.phpcomposer.com"}或{"url":"https://packagist.laravel-china.org"}，这就是根因——这两个地址早已停服 - 手动用
curl -I https://mirrors.aliyun.com/composer/packages.json测试，必须返回HTTP/2 200才算活；返回404或超时，说明镜像不可用或被本地网络拦截 - 临时切回官方源验证：
composer config -g repo.packagist composer https://repo.packagist.org，再跑composer show -p monolog/monolog—— 如果成功，问题 100% 出在镜像上
为什么换了镜像、清了缓存还是404
因为 composer.lock 里硬编码了原始 provider 地址（如 https://packagist.org/p2/monolog/monolog.json），换源后 Composer 仍会优先尝试锁文件里的旧 URL，而它早已失效。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须删掉
vendor/和composer.lock（尤其后者），再执行composer install—— 不要用update，它会复用 lock 里坏掉的元数据 -
composer clear-cache是前置动作，但单独做没用；缓存里存的是 provider 列表路径，一旦镜像切换，旧路径持续触发404 - 如果用了自定义
repositories，逐个注释掉再试，避免某个私有 Git URL 返回404污染整个流程
国内推荐镜像及正确配置命令
别复制过时链接，以下均为 2026 年仍稳定可用的地址（注意末尾斜杠）：
- 阿里云（最稳）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 清华（代理模式，对新包更及时）：
composer config -g repo.packagist composer https://packagist.proxy.fly.dev - 腾讯云：
composer config -g repo.packagist composer https://mirrors.cloud.tencent.com/composer/ - 配完立刻验证：
composer config -g repo.packagist输出应为完整 URL，不能是null或旧地址
SSL证书过期也会伪装成404
PHP cURL 握手失败时，Composer 常把空响应误报为 404 或 500，尤其在 Docker Alpine、老旧 CentOS 或企业内网环境。
- 运行
php -r "print_r(openssl_get_cert_locations());"查看default_cert_file路径，检查该 PEM 文件是否存在、最后修改时间是否早于 2023 年 - 临时验证：设
composer config -g secure-http false，若此时不报404，就是证书问题 - 生产环境必须修复：更新系统 CA 包，或在
php.ini中明确设置curl.cainfo和openssl.cafile
真正卡住人的地方，往往不是镜像地址本身，而是 composer.lock 里那个没人敢删的旧 URL，或者 default_cert_file 指向一个 2018 年的 PEM 文件——这两处不碰，换十次镜像都没用。
