composer install卡在downloading或报could not find package，主因是未正确配置国内镜像；全局配置需严格满足键名repo.packagist、type值为composer、url用https且末尾带斜杠，否则静默回退至官方源。
composer install 卡在 Downloading... 或报 could not find package，基本就是没配对国内镜像——不是网络差，是还在直连 packagist.org。
全局镜像配置为什么常失效？
命令看着简单，但漏掉任意一个硬性条件就静默回退到官方源，不报错也不提示：
• 键名必须是 repo.packagist（不是 repos.packagist、packagist.org 或 repositories）
• composer 是 type 值，不能省——写成 composer config -g repo.packagist https://mirrors.aliyun.com/composer/ 就无效
• URL 必须用 HTTPS 且末尾带斜杠：https://mirrors.aliyun.com/composer/ ✅，少斜杠会拼接出错导致 404
• 验证是否生效，直接运行 composer config -g repo.packagist，输出应为完整 JSON 或至少是对应 URL 字符串；空、null 或仍显示 https://packagist.org 说明没写进去
项目级镜像怎么写进 composer.json 才安全？
团队协作或 CI 环境里，全局配置靠不住——宝塔默认用 www 用户跑命令，GitHub Actions 用 runner 用户，它们根本读不到你本地 root 的配置。
进项目根目录后执行：composer config repo.packagist composer https://mirrors.aliyun.com/composer/
这条命令会自动在 composer.json 的 repositories 字段里追加，不覆盖已有私有源。
• 如果 composer.json 原本是 "repositories": {}，命令会转为标准数组格式并插入
• 如果原本是 "repositories": []，命令能正常追加；若报错，说明格式异常，需先手动改成对象再重试
• 别手写 "packagist": false——这会彻底关掉官方源，镜像临时不同步时 composer install 直接失败
composer update 还卡在 Resolving dependencies？和镜像无关
镜像只加速包下载和元数据拉取，不解决依赖解析慢的问题。
如果 composer update 卡在这一步几十秒甚至几分钟，优先排查：
• PHP 内存不足：默认 128M 不够，临时加 COMPOSER_MEMORY_LIMIT=-1 再试
• Xdebug 开着：会让解析慢 5–10 倍，用 php -d xdebug.mode=off $(which composer) update 临时禁用
• config.platform.php 和实际 PHP 版本不匹配：比如锁了 "php": "7.4" 却在 PHP 8.5.5 上运行，触发降级查找逻辑
• composer.lock 过旧：先试 composer update --lock 轻量更新，别一上来就全量重算
换源后第一次 composer install 报 hash 校验失败？
镜像元数据和官方源存在微小同步延迟，旧 composer.lock 里的哈希可能和镜像当前状态不匹配。
最稳妥做法：
• 删除项目里的 vendor/ 目录
• 删除 composer.lock 文件
• 再执行 composer install
别跳过删 lock 这步——否则即使换了镜像，Composer 仍按旧哈希去新源找包，大概率失败
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
