Composer中文镜像：国内PHP开发环境的标配！-composer-PHP中文网

composer config -g repo.packagist 必须严格配置三项：键名repo.packagist（单数）、type值composer、url以https://开头且末尾带/，缺一即静默回退官方源；验证需输出完整json，空/null或含packagist.org即失败。

composer中文镜像：国内php开发环境的标配！

composer config -g repo.packagist 必须配，不配就根本跑不动 —— 不是慢，是连 composer install 都会卡在 Downloading、报 could not find package 或直接 403，和你本地 PHP 版本、网络带宽都无关。

为什么 `composer config -g repo.packagist` 总是不生效？

这条命令静默失败率极高，错一个字符就白配：

repo.packagist 写成 repos.packagist（多一个 s）：Composer 完全忽略，不报错也不提示
漏掉中间的 composer 类型标识，比如写成 composer config -g repo.packagist https://...：新版 Composer 会 fallback 到官方源，日志里照样出现 packagist.org
URL 少了末尾斜杠 /：请求路径变成 https://mirrors.aliyun.com/composerpackages.json，404
用了 http:// 而非 https://：Composer ≥2.2 默认拒绝非 HTTPS 源

验证是否真生效，别只看命令输出：运行 composer config -g repo.packagist，必须返回完整 JSON，例如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}；如果为空、null 或还是 https://packagist.org，说明没写进去。

项目级配置比全局更可靠，尤其在 CI/CD 场景

全局配置对 GitHub Actions、宝塔、Docker 构建等场景基本无效——因为它们用的是 runner、www 或容器内用户，读不到你本地 ~/.composer/config.json。项目级配置能随 Git 提交共享，行为一致：

进项目根目录，执行：composer config repo.packagist composer https://mirrors.aliyun.com/composer/（注意：不带 -g）
该命令会自动往 composer.json 顶层写入 "repositories" 字段，key 固定为 "packagist"，不会覆盖已有私有源
如果项目已有 "repositories" 数组，手动编辑时务必确认结构合法，且不要加 "packagist.org": false 这类禁用项，否则基础包全拉不到
改完删掉 vendor/ 和 composer.lock，再跑 composer install，否则旧 lock 文件仍可能触发 fallback

换镜像后还是卡在 `Resolving dependencies`？那和镜像无关

镜像只加速下载环节，不参与依赖解析。如果你发现 composer update 卡几十秒甚至几分钟，大概率是以下原因：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

composer.json 里 PHP 版本约束太宽，比如 "php": "^7.4 || ^8.0 || ^8.1 || ^8.2 || ^8.3 || ^8.4"，Composer 得穷举所有兼容组合
大量未锁定版本的 dev-main 或 dev-develop 包，尤其 require-dev 里塞了 phpstan、pest、infection 等重型工具链
Xdebug 开着：会让依赖解析慢 5 倍以上，PHPStorm 默认启用，记得关
内存限制过低：php -d memory_limit=2G /usr/bin/composer update 有时比换镜像更管用

同步延迟也得心里有数：新发布的包，主流镜像平均 5 分钟内同步，但仍有窗口期；若你 require vendor/name:dev-main，而该包刚发布不到 3 分钟，镜像还没抓到，就会 fallback 失败 —— 这不是配置问题，是机制使然。

哪些镜像地址现在还能用？

截至 2026 年 7 月，实测稳定、支持 Composer 2.9.x、HTTPS 强制、无 HTTP 降级风险的镜像只有三个：

https://mirrors.aliyun.com/composer/：华东响应最快，Laravel/ThinkPHP 新包当天入库
https://packagist.mirrors.sjtug.sjtu.edu.cn/：上海交大镜像，学术网运维，故障率最低
https://packagist.mirrors.ustc.edu.cn/：中科大镜像，北方及教育网延迟最优

已确认失效的包括：https://packagist.phpcomposer.com（404）、所有 http:// 开头的地址、https://mirrors.huaweicloud.com/repository/php/（正确地址是 https://repo.huaweicloud.com/repository/php/）。

最常被忽略的一点：项目根目录若已有 "repositories" 字段，它会直接覆盖全局配置，哪怕你 config -g 配得再对也没用。验证时不能只看 composer config -g repo.packagist，还得加 -vvv 跑一次 composer install，盯紧日志里 Downloading 的域名是不是你配的那个。