必须三步验证：先运行composer config -g repo.packagist确认全局配置正确（含"type": "composer"及带尾斜杠的https url）；再进项目目录执行composer diagnose，查看“repo”行是否显示镜像域名而非packagist.org；最后用composer update -vvv | grep downloading确认日志中请求url匹配镜像地址且路径为/packages.json或/p2/。
怎么确认当前 Composer 真正在用哪个镜像源
光执行 composer config -g repo.packagist 不够，它只告诉你“写了啥”，不等于“正在用啥”。真正生效的源可能被项目级配置覆盖，或根本没写对字段名。
必须三步验证：
- 运行
composer config -g repo.packagist，输出必须是完整 JSON，含"type": "composer"和带尾斜杠的 HTTPS URL（如"url": "https://mirrors.aliyun.com/composer/"）；返回空、null、https://packagist.org或报错，说明没生效 - 进项目目录后运行
composer diagnose，找到Repo:行——域名必须匹配你设的镜像（比如mirrors.aliyun.com），不是packagist.org - 执行
composer update -vvv 2>&1 | grep -i downloading，日志里出现的 URL 必须含镜像域名，且路径以/packages.json或/p2/开头；如果还看到packagist.org，说明配置被绕过了
常见静默失败点：repos.packagist（多一个 s）、漏掉 composer 类型值、URL 少末尾 /、或项目 composer.json 里有 "repositories": {} 空对象——这会直接屏蔽全局设置。
换镜像源后 composer update 还卡在 “Loading composer repositories”
这不是 Composer 慢，是元数据拉取失败。镜像源只加速下载，但元数据接口（packages.json）和 ZIP 包分发节点必须严格匹配，否则会卡在 TLS 握手、DNS 解析或 404 上。
先清缓存再重试：
- 执行
composer clear-cache——这是唯一有效方式，composer update -v不会自动刷新旧元数据 - 手动验证镜像连通性：
curl -v https://mirrors.aliyun.com/composer/packages.json，看是否秒回 200；卡在 DNS 或 TLS handshake，说明系统时间不准、CA 证书过期，或公司 WAF 拦截了 HTTPS - 确认镜像地址正确：阿里云必须是
https://mirrors.aliyun.com/composer/（结尾斜杠不能少），华为云必须是https://mirrors.huaweicloud.com/repository/php/composer/（路径含/repository/php/composer/） - 已卡住时，别硬等，
Ctrl+C终止，清缓存，再重试；删vendor/和composer.lock是重装逻辑，不是解决卡顿的常规手段
composer update 升哪些包？怎么避免意外升级
composer update 默认更新 composer.json 里所有包及其子依赖，容易引发兼容性断裂。生产环境绝不能无差别跑。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
控制范围的关键命令：
- 只更新指定包：
composer update monolog/monolog phpunit/phpunit——包名之间用空格，别加逗号 - 跳过开发依赖：
composer update --no-dev，适合上线前精简环境 - 强制忽略
composer.lock并重解析：composer update --lock（注意不是--force），等效于删 lock 后install - 想看具体变更：
composer update -v输出会列出每个包的旧/新版本；加-vvv还能看到依赖树变化
⚠️ 如果 composer.json 里写了死版本（如 "monolog/monolog": "1.23.0"），update 也升不了；改成 "^1.23" 或 "~2.0" 才能获取小版本更新。
为什么开了镜像还是慢？并发和权限常被忽略
Composer 2.2+ 支持并行下载，但默认只开 3 个线程——相当于把千兆宽带压成 300KB/s。不开并发，再快的镜像也跑不满带宽。
必须启用高并发：
- 执行
composer config -g parallel-downloads 8（推荐值；设为 10 容易触发临时文件竞争，报file_put_contents(/tmp/): failed to open stream） - 检查是否被项目级配置覆盖：只要
composer.json里有"repositories"字段（哪怕为空对象），全局repo.packagist就失效；安全写法是显式定义"packagist"key：{"repositories": {"packagist": {"type":"composer", "url":"https://mirrors.aliyun.com/composer/"}}} - 宝塔面板用户特别注意：必须用网站绑定的 PHP CLI 路径执行命令（如
/www/server/php/81/bin/php /usr/local/bin/composer），否则 openssl/curl 扩展缺失会导致 SSL 错误或超时
镜像地址本身也有差异：2026 年实测最稳的是 https://mirrors.aliyun.com/composer/、https://packagist.mirrors.sjtug.sjtu.edu.cn/；https://packagist.laravel-china.org 频繁 502/503，http:// 开头地址在 Composer ≥2.2 下直接拒绝。
