换镜像源需严格满足三条件才生效：键名repo.packagist（非repos）、中间必须带composer类型参数、url须为https://mirrors.aliyun.com/composer/（https且结尾带/），缺一则静默回退至官方源。
换镜像源能解决 90% 的 Composer 下载慢问题，但必须确保配置写对、缓存清掉、URL 有效——否则白忙。
composer config -g repo.packagist 命令怎么写才生效
这条命令极易静默失败，不报错也不起作用。必须同时满足三个条件：
-
repo.packagist不能写成repos.packagist（多一个 s 就被忽略） - 中间必须带
composer这个 type 参数：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/✅；漏掉composer就 fallback 到默认源 ❌ - URL 必须是 HTTPS + 末尾带斜杠：
https://mirrors.aliyun.com/composer/✅；https://mirrors.aliyun.com/composer❌（少斜杠会 404 或解析失败）
验证是否成功：运行 composer config -g repo.packagist，输出必须是类似 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} 的完整 JSON 对象。空、null 或仍是 https://packagist.org 都说明没写进去。
哪些国内镜像源现在还能用（2026 年实测）
清华源已关闭公共 Composer 镜像服务；腾讯云镜像同步延迟高、偶发 503；PHPComponer 和 Laravel China 镜像均已下线。目前稳定可用的只有：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 阿里云：
https://mirrors.aliyun.com/composer/（推荐首选，同步及时、证书兼容性好） - 华为云：
https://mirrors.huaweicloud.com/repository/php/（备选，内网穿透友好）
中科大镜像（https://mirrors.ustc.edu.cn/composer/）理论上可用，但近期部分节点响应不稳定，建议优先试阿里云。
为什么换了镜像还是卡在 downloading
最常被跳过的一步：composer clear-cache 没执行。缓存里还存着旧的 packages.json 和元数据，Composer 会优先读缓存，哪怕配置已改，它仍试图从旧地址拉校验信息，结果卡在 DNS 解析或 TLS 握手。
- 先手动测试镜像连通性：
curl -I https://mirrors.aliyun.com/composer/packages.json，看是否返回200 - 如果提示
SSL certificate problem，说明系统根证书库太老，需升级：sudo update-ca-certificates（Debian/Ubuntu）或sudo yum update ca-certificates（CentOS/RHEL） - CI 或宝塔环境注意用户权限：
composer config -g写的是/root/.composer/config.json，但 www 用户读不到，应切到对应用户下执行：sudo -u www composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
下载快了但 install/update 还是慢？那可能不是网络问题
Resolving dependencies 卡住跟镜像无关——这个阶段完全不走网络，是 Composer 在本地穷举满足所有约束的版本组合。
- 避免宽泛约束：
"php": ">7.4"比"php": "^8.1"多查几百个包的兼容性元数据 - 项目级
composer.json中写了repositories字段，会直接覆盖全局配置；用composer config --list和composer config --list --global对比确认实际生效的是哪个 - Composer 3.x 默认开启
classmap-authoritative，每次update都强制重扫整个vendor目录；关掉它：composer config authorative false（注意拼写是authorative，不是authoritative）
真正生效的验证方式：跑 composer install -vvv，最后几行出现 Reading packages.json from cache at .../https---mirrors-aliyun-com-composer/... 才算落地。日志里还有 packagist.org，说明 fallback 了，配置没起作用。
