正确命令是composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，必须严格满足：-g不可省略、键名为单数repo.packagist、第二参数为composer类型值、url以https://开头且末尾带斜杠/，缺一即静默回退官方源。
阿里云镜像配置必须带斜杠且 type 不可省略
国内最稳的镜像就是阿里云，但composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/这条命令里三个细节错一个就静默失效：键名必须是repo.packagist（不是repos.packagist或repositories.packagist），中间的composer是type值，不能删、不能替换成composer2或留空，URL末尾/也绝不能少——少它会拼出/composerpackages.json导致 404，Composer 自动 fallback 回packagist.org，你完全看不到提示。
验证是否真写进去了，只看这一行输出：composer config -g repo.packagist。必须返回完整 JSON：{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}。空、null、只返回 URL 字符串，都说明没生效。
腾讯云和华为云镜像路径差异要盯死
腾讯云镜像地址是https://mirrors.cloud.tencent.com/composer/，末尾必须带/；华为云是https://mirrors.huaweicloud.com/repository/php/，路径里含/repository/php/，漏掉/php/直接 404。这两个地址都不能手动补/——华为云多加一个/会触发cURL error 60，腾讯云少加则报 404。
实际选哪个，看你的服务器物理位置：
- 华南、华东用户优先试腾讯云，CDN 节点更近
- 华北、西南用户用华为云，OBS 同步延迟略高但首字节更快
- 遇到 503 或 404，别硬等，立刻切回阿里云，它同步最及时
多用户环境（宝塔/Docker）必须按执行用户配
你在终端用 root 配了全局镜像，但宝塔「一键部署」或 Docker 容器里 PHP 进程是以www或app用户跑的，它读的是自己的~/.composer/config.json，根本看不到你的配置。
正确做法是先确认真实执行用户：
- 宝塔日志里搜
UID=，或进网站根目录执行whoami - Dockerfile 里查
USER指令，或docker exec -it xxx whoami
然后针对性执行：sudo -u www composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/。别跳过sudo -u，否则又配到 root 下。
老项目锁文件含 packagist.org 哈希时不能只换镜像
PHP 7.4 及以下的老项目，composer.lock里记录的是packagist.org的 dist URL 和 hash，换镜像后不重生成 lock，Composer 仍会尝试从官方源验证元数据——而镜像可能已下线该旧包（比如symfony/console v3.4），直接报Could not find package。
安全解法分两步：
- 老项目进根目录运行：
composer config repositories.packagist.org false，它会在composer.json里加"repositories": {"packagist.org": false}，强制走 lock 文件原始 dist URL - 新项目才用
composer config repositories.alipay composer https://mirrors.aliyun.com/composer/，生成标准对象结构，兼容 Composer 2.9.6 元数据合并逻辑
最关键的细节是：packagist.org必须写在composer.json根节点，不是repositories里面；且不能写成"packagist": false，否则连php扩展校验都会失败。
