应删除或替换 composer.json 中硬编码的 repositories 字段，更新 composer.lock，正确配置全局镜像（用 repos.packagist），处理 auth.json 认证，并清理敏感凭据。
Composer镜像配置被写死在 composer.json 里怎么办
交接项目时发现 composer.json 里有 "repositories" 字段硬编码了私有镜像或已失效的源，会导致 composer install 直接失败或拉不到包。这不是全局配置问题，而是项目级覆盖，优先级高于 ~/.composer/config.json。
实操建议：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 检查
composer.json中是否包含类似"repositories": [{"type": "composer", "url": "https://xxx.com"}]的块，这是最常见“写死”方式 - 若该镜像仅限原团队内网使用，且新环境无法访问，必须删掉整个
repositories段，或替换为公开可用源（如阿里云：https://mirrors.aliyun.com/composer/） - 删改后务必运行
composer update --lock重建composer.lock，否则旧 lock 文件仍会尝试从原镜像下载
全局镜像被 composer config -g repo.packagist 覆盖但没生效
执行过 composer config -g repo.packagist https://mirrors.aliyun.com/composer 却发现 composer require 还是走官方源，大概率是 Composer 版本 ≥ 2.2 后默认启用了 packagist.org 的强制 HTTPS 重定向机制，而部分国内镜像未同步支持该协议协商。
实操建议：
- 先确认当前全局配置：运行
composer config -g repo.packagist，看输出是否为你设置的地址 - 若输出正确但无效，尝试加
--no-plugins参数排除插件干扰：composer config -g repo.packagist https://mirrors.aliyun.com/composer --no-plugins - 更稳妥的方式是用
composer config -g repos.packagist composer https://mirrors.aliyun.com/composer（注意字段名是repos.packagist，不是repo.packagist），这是 Composer 2+ 推荐写法
composer.lock 文件里记录了镜像 URL 导致切换失败
composer.lock 不只存依赖版本，还存了每个包的 dist.url —— 这个 URL 可能来自原镜像，比如 https://xxx-private-mirror.com/download/v1.2.3.zip。即使你改了配置，composer install 仍会直接请求这个 URL，导致 404 或超时。
实操建议：
- 不要手动编辑
composer.lock，容易破坏 SHA256 校验 - 安全做法是删掉
vendor/和composer.lock，再跑composer install；或者保留 lock 文件但强制刷新 dist URL：composer update --lock - 如果项目要求 lock 文件不变（如生产环境审计），可临时启用
COMPOSER_REPO_PACKAGIST=https://mirrors.aliyun.com/composer环境变量，它会覆盖 lock 中的 dist URL（仅限 Composer ≥ 2.3）
交接时漏掉 auth.json 导致私有包 401
有些项目依赖私有 Git 仓库或私有 Packagist，认证信息存在 ~/.composer/auth.json 或项目根目录的 auth.json。交接时没人提这文件，composer install 就卡在 “Loading from cache” 后报 401 Unauthorized。
实操建议：
- 检查项目根目录是否存在
auth.json；若无，问前负责人要，并确认其格式是否含"http-basic"或"github-oauth"字段 - 把
auth.json放到项目根目录比放全局更安全（避免污染其他项目），Composer 会优先读取项目级auth.json - 敏感字段如 token 不要提交进 Git，交接后应立即用
composer config --unset http-basic.xxx清理旧凭据，再重新config --auth设置新凭据
composer show --tree 输出一起给，比光甩一个 composer.json 实用得多。
