composer 3.x+元数据请求不走repositories列表，必须用composer config --global repo.packagist composer https://mirrors.aliyun.com/composer/配置镜像源，url末尾必须带/，且需校验状态码、last-modified和版本键集合一致性。
Composer 3.x+ 的元数据请求根本不走 repositories 列表
你往 composer.json 的 repositories 数组里加了阿里云镜像，composer install 还卡在 provider-laravel~10.0.json 上——这不是配置没生效，而是根本没走这条路。
Composer 2.2+ 开始把 Packagist 元数据源（packages.json、所有 provider-*.json）当作全局单例硬编码处理。repositories 只影响非 packagist 类型的私有源（比如 type: "vcs"），官方包的元数据请求完全绕过该列表，直连 repo.packagist.org。
- 真正能覆盖这个路由逻辑的，只有：
composer config --global repo.packagist composer https://mirrors.aliyun.com/composer/ - 这条命令写入的是全局配置，修改 Composer 内部元数据源的 base URL，后续所有 provider 查询、version metadata 请求都会发往镜像站
- 别手写
~/.composer/config.json：容易格式错、覆盖auth字段、引发权限问题 - 项目级配置用
composer config repo.packagist composer，但必须先确认composer.json里没声明packagist类型源，否则项目配置优先生效
镜像不是实时同步，而是“首次请求触发拉取”
所谓按需同步，是指镜像站收到对某个 p2/laravel/framework/10.0.0.json 的请求时，若本地没有，才反向拉取官方源对应文件并缓存。
这导致一个关键现象：镜像不是全量实时同步，而是存在滞后窗口。常见错误判断：composer diagnose 报 Could not fetch packages.json，很多人以为是网络不通，实际更可能是镜像尚未同步到你要的 provider 文件。
- 验证方式：
curl -I https://mirrors.aliyun.com/composer/p2/laravel/framework/10.0.0.json看是否返回 200 - 再比对官方源：
curl -I https://repo.packagist.org/p2/laravel/framework/10.0.0.json - 如果官方有、镜像返回 404 或空响应，说明该镜像暂未同步，可临时切中科大源：
composer config -g repo.packagist composer https://mirrors.ustc.edu.cn/composer/ - 别信
-vvv日志里 “Resolving dependencies” 那行——那只是开始，真正卡点在后续几百次 provider 请求，每个都可能触发一次镜像同步延迟
镜像 URL 末尾的 / 是硬性要求
https://mirrors.aliyun.com/composer ❌https://mirrors.aliyun.com/composer/ ✅
这不是风格问题，而是路径拼接逻辑决定的：Composer 会把 packages.json 拼在 URL 后面，少斜杠就变成 /composerpackages.json，直接 404。
- 所有镜像 URL 必须以
https://开头且末尾带/ - 键名必须是
repo.packagist（不能多s，不能写成repos或mirror） -
composer是 type 值，不是可选参数，也不能省略或替换成composer.org - 验证是否写入成功：
composer config -g repo.packagist输出必须是完整 JSON 对象，形如{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}
一致性校验必须检查三要素
阿里云镜像与官方源元数据一致性需校验三要素：provider 文件 HTTP 状态码为 200、Last-Modified 滞后 ≤ 180 秒、版本键集合完全一致，缺一不可。
packages.json 的 updated 时间不可靠，必须单独验证目标包对应 p2/provider-*.json 文件。
-
packages.json的lastModified字段必须与官方源相差 ≤ 180 秒（即 3 分钟），超出即视为不可靠 - 任一
provider-*.json若在镜像站返回 404 或空响应，而官方源存在且含有效版本列表，则说明该 provider 分片尚未同步 - 同一包的版本列表必须完全一致：用
curl -s https://packagist.org/p2/vendor/package.json | jq -r '.packages."vendor/package" | keys[]' | sort和镜像站同命令结果逐行比对，任何缺失或顺序错位都代表不一致 - 手动
curl太慢，但简单脚本也别写太重。核心就三件事：状态码、Last-Modified头、JSON 版本键集合
composer.lock 里记录的原始 dist URL 会强制回退到旧源——删掉它再装，才是验证镜像是否真起效的最干净方式。
