针对Composer库中外部API调用导致的慢请求堆积排查思路-composer-PHP中文网

composer本身不发起外部api请求，所谓“api调用慢”实为自定义脚本、钩子或依赖包在生命周期中触发http请求；需通过composer run-script --list定位脚本，strace验证autoload阶段连接行为，并检查file_get_contents/curl超时配置与环境变量token安全使用。

针对composer库中外部api调用导致的慢请求堆积排查思路

Composer 本身不发起外部 API 请求，所谓“Composer 中 API 调用慢”，实际是你的自定义脚本、钩子或依赖包在 Composer 生命周期中触发了 HTTP 请求 —— 排查必须跳出 composer install 表象，直击真实执行点。

确认慢请求是否真由 Composer 触发

很多人误以为 composer install 卡住 = “API 慢”，但实际可能根本不是 Composer 在发请求：

composer diagnose 报错但 composer install 成功？那是它硬连 https://packagist.org，和你写的脚本无关
卡在 Resolving dependencies？属于 DNS 或源不可达，不是 API 调用慢
卡在 Executing script xxx？这才是你写的脚本（比如 notify:slack）在发请求，要查它
卡在 Generating autoload files 后？可能是某个包的 autoloader 里写了 file_get_contents() 或 curl_init()，而非 Composer 主流程

定位具体哪个脚本在调用外部 API

Composer 脚本本身不带 HTTP 客户端，所有“调用 API”都靠 shell 命令或 PHP 封装。关键看 composer.json 的 scripts 字段：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

检查 post-install-cmd、post-update-cmd、pre-deploy 等字段，找含 curl、wget、@php 的条目
重点盯 @php xxx.php 类脚本：它们才是真正发请求的地方，xxx.php 里很可能有 file_get_contents($url) 或 curl_exec()
运行 composer run-script --list 列出所有可执行脚本，再逐个 composer run-script xxx --verbose 看输出和耗时
注意：自定义钩子名（如 post-deploy）不是内置事件，不会自动触发 —— 必须显式调用 composer run-script post-deploy 才会执行

排查脚本内 API 调用的真实瓶颈

一旦锁定具体 PHP 脚本，别只改超时参数，先验证底层行为：

脚本里用的是 file_get_contents()？默认无超时控制，PHP 会卡死直到连接关闭；应改用 stream_context_create(['http' => ['timeout' => 10]])
用的是 curl_init()？检查是否漏设 CURLOPT_TIMEOUT 和 CURLOPT_CONNECTTIMEOUT，仅设 CURLOPT_TIMEOUT_MS 不够，CLI 下毫秒级常被截断
是否在循环里没做失败重试或降级？比如 Slack webhook 失败后直接 exit(0)，CI/CD 会误判成功；必须返回非零退出码
敏感 Token 是否明文写在脚本里？这会导致 Git 历史泄露，且无法动态切换环境；应统一走 getenv('WEBHOOK_URL')

避免 autoload 阶段偷偷发起网络请求

有些包在自动加载时就执行远程调用 —— 这类行为极隐蔽，但会拖慢所有 CLI 命令（包括 composer dump-autoload）：

运行 strace -e trace=openat,connect,sendto php -r "require 'vendor/autoload.php';"（Linux/macOS），看是否出现 connect 系统调用
临时注释掉 composer.json 中新增的包，再测 time php -r "require 'vendor/autoload.php';" 耗时差
检查该包的 autoload 或 autoload-dev 是否包含指向外部路径的 files，比如 "files": ["src/init.php"] 里藏着 file_get_contents('https://...')
特别警惕旧版 Laravel 扩展、Doctrine 补丁、或带“自动注册”逻辑的 SDK —— 它们常在 __construct() 或静态初始化块里发请求

真正卡住的从来不是 Composer，而是你没意识到某行 file_get_contents() 正在生产环境默默连着一个响应 8 秒的第三方接口 —— 它藏在 autoload 里、混在脚本中、甚至被 require-dev 里的测试工具间接触发。不抓进程、不看系统调用、不验退出码，光调 http.timeout 只会让问题更难复现。