最可靠方式是运行 composer diag 查看“repo packagist.org”行，它发起真实请求并显示实际使用的url；其次用 composer config --show-source repositories.packagist.org.url 确认配置来源，再检查环境变量 composer_repo_packagist 是否覆盖。
如何查看当前 Composer 的镜像源配置？
Composer 本身不提供“一键显示当前生效源”的命令，composer config -g repo.packagist 只能查到全局手动设置的源（如果有的话），但无法反映实际请求时真正走的源——比如被插件动态切换、或被环境变量覆盖的情况。
最可靠的方式是触发一次真实请求并观察行为：
- 运行
composer diag，它会输出 “Checking composer.json: OK” 等信息，但**不会显示源地址**；真正有用的是下一条 - 执行
composer show -p | head -n 3（Linux/macOS）或composer show -p | more（Windows），这会触发包元数据请求，同时在控制台顶部打印类似Reading https://packagist.org/packages.json from cache或Downloading https://mirrors.aliyun.com/composer/packs...的日志行——这就是当前实际生效的源 - 若没看到 HTTPS 地址，加
-v参数强制显示详细日志：composer show -p -v
为什么 composer config repo.packagist 显示空，但安装却走了国内镜像？
因为镜像源可能来自第三方插件（如 hassankhan/config-manager）、环境变量，或 Composer 自身的 fallback 行为。常见干扰源有：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
COMPOSER_REPO_PACKAGIST环境变量：优先级高于配置文件，直接覆盖源 -
composer.json里写了"repositories": [{"type": "composer", "url": "..."}]—— 这会完全禁用 packagist.org，且不显示在config查询结果中 - 阿里云、腾讯云等镜像提供的
composer config -g repo.packagist ...命令只改全局配置，但如果你在项目目录下执行了composer config repo.packagist ...（无-g），那就是项目级配置，composer config -g查不到
如何确认某个源是否被插件接管？
有些镜像方案（如 phpcomposer/composer-proxy 或某些 IDE 内置代理）会通过 Composer 插件注入自定义 Repository 类，绕过标准配置逻辑。检测方法：
- 运行
composer global list，检查是否有类似hirak/prestissimo、fxp/composer-asset-plugin或带mirror、proxy字样的已安装插件 - 查看
~/.composer/composer.json（全局）和项目根目录composer.json中的"require-dev"或"plugins"字段（Composer 2.2+ 支持插件白名单） - 临时禁用插件验证：
composer --no-plugins show -p -v，对比输出中的 URL 是否变化
镜像源配置的优先级顺序是什么？
从高到低依次是：
- 环境变量
COMPOSER_REPO_PACKAGIST - 项目级配置（
./composer.json中的repositories数组） - 全局配置（
composer config -g repo.packagist） - Composer 默认源（
https://packagist.org），仅当以上全部未设置时生效
注意：repositories 数组里如果包含 {"type": "composer", "url": "https://xxx"}，且没有显式指定 "packagist.org": false，Composer 仍会合并请求 packagist.org；只有加上 "packagist.org": false 才彻底禁用默认源。
