镜像源配不生效主因是命令错误、被覆盖或缓存未清；必须严格满足四条件：键名repo.packagist拼写准确、type值必填composer、URL以https://开头且结尾带/、必须加-g，否则静默回退至packagist.org。
镜像源配不生效，不是网络慢，而是命令写错、被覆盖或缓存没清——Composer 不会报错，只静默回退到 https://packagist.org。
composer config -g repo.packagist 命令为什么总不生效
这条命令必须同时满足四个硬性条件，缺一不可，否则配置写不进全局文件，但也不提示错误：
-
repo.packagist不能拼成repos.packagist（多一个 s 就无效） - 第三个参数
composer是type值，不是可选说明，漏掉就直接忽略整条配置 - URL 必须以
https://开头，且末尾带斜杠，例如https://mirrors.aliyun.com/composer/✅；写成https://mirrors.aliyun.com/composer❌ 会导致请求路径拼成/composerpackages.json，返回 404 - 必须加
-g，否则只改当前项目下的composer.json，换目录就失效
验证是否成功：运行 composer config -g repo.packagist。输出应为完整 JSON 对象或至少是带斜杠的 URL 字符串；如果为空、null 或报错，说明没写对。
为什么 composer install 还是走 packagist.org
不是镜像不可用，而是优先级被更高层配置覆盖了。Composer 的源生效顺序是：项目级 composer.json 中的 repositories > 全局 config > 默认源。
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 进项目目录后执行
composer config repo.packagist，如果输出 URL，说明项目级已覆盖全局 - 检查
composer.json是否含空"repositories": []或"repositories": {}——哪怕空数组也会屏蔽全局镜像 - CI/CD 流水线里误加
"packagist.org": false，结果基础包全拉不到 - 最准验证方式：加
-vvv看真实请求地址：composer install -vvv | grep "Downloading.*packages.json"，第一行域名才是实际走的源
换镜像后仍卡在 “Loading composer repositories”
这不是配置失败，而是元数据缓存还在指向旧地址。Composer 不会自动感知配置变更，必须手动刷新本地缓存。
- 执行
composer clear-cache，强制丢弃所有旧的packages.json缓存 - 再跑一次
composer install -vvv，确认日志中出现的是你设的镜像域名（如mirrors.aliyun.com） - 如果 URL 对了但依然卡住，用
curl -I https://mirrors.aliyun.com/composer/packages.json直接测镜像根路径是否返回200 OK；超时或404说明镜像地址本身有问题（比如少/composer/后缀） - 某些镜像（如阿里云）要求 HTTPS 且严格校验证书，若报
cURL error 60: certificate verify failed，不是镜像问题，是 PHP 找不到 CA 证书路径，需查openssl.cafile配置
如何安全地混用私有源 + 阿里云镜像
把私有源和国内镜像写进同一个 repositories 数组时，顺序决定一切——Composer 只认第一个能提供该包完整版本信息的源，不会 fallback。
- 私有源必须放在
repositories数组最前面，确保你的包名不被公共镜像“抢先声明” - 避免私有包起名和 Packagist 上已有包重复（如都叫
utils/helper），否则 Composer 会路由到第一个匹配的源，根本不会访问你的私有地址 - 推荐结构：
"repositories": [{"type": "composer", "url": "https://your-private-repo.com"}, {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}, {"type": "composer", "url": "https://packagist.org"}]，并显式保留"packagist.org": true（不要写false） - 调试时务必加
-vvv，看日志里是否真的发出了对你私有源的请求；如果完全没出现，说明它被跳过了
真正容易被忽略的点是：镜像配置只是元数据加速，不改变包下载行为；而签名验证、HTTPS 强制、CA 证书路径这些底层链路，一旦出问题，表现就是“连得上但装不了”或“装了但内容被篡改”。
