老项目应禁用 packagist.org 而非配置镜像，因 composer.lock 中的 dist url 和哈希源自官方源，换镜像不重生成 lock 会触发“could not find package”错误；正确做法是执行 composer config repositories.packagist.org false 强制跳过官方源，完全信任 lock 文件。
老项目直接禁用 packagist.org，别碰镜像配置
老项目（composer.lock 中 content-hash 是 32 位 md5）不能靠全局镜像“加速”，反而会触发 Could not find package 错误。根本原因是：锁文件里记录的是 packagist.org 的 dist URL 和哈希，换镜像后不重生成 lock，Composer 仍按原地址下载，但官方源 DNS 或证书可能已失效，或镜像未同步 v3.x 等旧包。
正确做法只有一条：
进项目根目录执行：composer config repositories.packagist.org false
它会在 composer.json 里写入 "repositories": {"packagist.org": false}，强制跳过所有兜底逻辑，完全信任 lock 文件里的原始地址。
- 不要用
composer config -g repo.packagist给老项目配全局镜像——这会让 Composer 在元数据阶段偷偷连 packagist.org，而镜像又没同步旧版本，直接失败 - 不要手动往
repositories数组里加新源——老项目没声明repositories字段时，Composer 默认行为就是走官方源；加了反而干扰合并逻辑 - 删
vendor/和composer.lock再装？千万别。lock 文件是老项目的契约，重生成会导致版本漂移甚至破坏兼容性
新项目用项目级镜像 + 显式禁用官方源
新项目（content-hash 是 64 位 sha256）可以安全使用镜像，但必须用项目级配置，且要显式关闭官方兜底。因为 Composer 2.2+ 默认启用隐式 packagist.org 兜底，哪怕你配了阿里云镜像，只要 repositories 里没明确写 "packagist.org": false，它就会在元数据合并阶段拉一次官方源——而镜像若不同步某个新包的预发布版本，就会卡住或报错。
标准命令（在项目根目录运行）：composer config repositories.packagist composer https://mirrors.aliyun.com/composer/composer config repositories.packagist.org false
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 两条命令顺序无关，但必须都执行；前者注册镜像源，后者关闭官方兜底
- 执行后
composer.json的repositories会变成对象形式：{"packagist": {...}, "packagist.org": false}，不是数组——这是 Composer 2.9.6+ 兼容的写法 - 如果项目已有私有仓库配置，用
composer config repositories.xxx命令追加更安全；直接编辑composer.json容易格式出错
全局配置只适合个人开发机，CI/多用户环境慎用
全局配置（composer config -g repo.packagist）写在 ~/.composer/config.json，对当前 shell 用户生效。但它在 CI、Docker、宝塔等场景下基本失效——因为这些环境往往以 www、runner 或容器内非 root 用户运行，根本读不到你的配置。
- GitHub Actions 或 GitLab CI 中，必须在 job 步骤里显式执行
composer config -g，且确保用户一致；否则会 fallback 到官方源 - 宝塔面板里 PHP 进程常以
www用户启动，需用sudo -u www composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 团队协作时，全局配置无法被 Git 跟踪，新人 clone 后直接
composer install会失败——项目级配置才是唯一可交付的方案
换镜像后仍报错，先查缓存和实际请求路径
配完镜像还卡在 Loading composer repositories 或报 cURL error 60，大概率不是镜像地址问题，而是缓存残留或 URL 拼接错误。Composer 会优先读本地缓存和 lock 文件里的旧元数据地址，哪怕你已经改了配置。
验证是否真走镜像：composer diagnose 看 “Repo” 行是否显示镜像 URL
或加详细日志：composer install -vvv 2>&1 | grep -E "(mirrors|https?://)"
- 如果日志里出现
packagist.org或packages.json请求失败，说明packagist.org没禁用干净 - 如果出现
https://mirrors.aliyun.com/composer/packages.json但返回 404，检查 URL 是否漏了末尾/——少斜杠会拼成/composerpackages.json - 华为云镜像路径含
/repository/php/composer/，漏掉/php/就是 404；腾讯云地址末尾不能多写/，否则 cURL error 60 - 清缓存必做：
composer clear-cache，再删vendor/和composer.lock（新项目可删，老项目只删 vendor）
repositories.packagist.org false 切断，新项目靠 repositories.packagist + repositories.packagist.org false 双保险，全局配置只是个人便利手段，不是协作基础设施。
