composer镜像不是代理，而是对packagist.org元数据的全量定时同步，请求直接对接镜像域名；缺末尾斜杠会导致url拼接错误（如composerpackages.json）而404；镜像仅加速网络io（如拉取packages.json、下载zip），不优化本地依赖解析。
Composer镜像不是代理，是完整元数据同步
国内镜像源（如 https://mirrors.aliyun.com/composer/）不是反向代理或缓存层，而是对 packagist.org 元数据的全量、定时同步——包括 packages.json、每个包的 composer.json、dist 和 source 的 URL 模板，以及所有历史版本的哈希值。Composer 请求时直接对接镜像域名，不经过任何中间转发。
这意味着：镜像生效后，composer install 的 Loading composer repositories 阶段实际请求的是镜像服务器上的 packages.json（例如 https://mirrors.aliyun.com/composer/packages.json），而非官方源；后续每个包的元数据、zip 下载地址也都来自镜像生成的 JSON 片段，而非实时回源。
常见误解：
– “镜像只是缓存下载链接” → 错，它重写了整个依赖图谱的解析入口
– “换镜像后仍要连 packagist.org” → 错，只要配置正确，全程不触达海外域名
为什么少一个斜杠就 404？URL 拼接逻辑很严格
Composer 内部拼接元数据路径时，硬编码规则是：[mirror-url]/packages.json、[mirror-url]/p/[vendor]/[package].json。如果配置的 URL 缺少末尾斜杠（如 https://mirrors.aliyun.com/composer），就会变成：https://mirrors.aliyun.com/composerpackages.json —— 显然不存在，直接返回 404。
这个行为在 Composer 2.0+ 中未做容错，也不会 fallback 或提示，只会卡在 Loading composer repositories 并不断重试。
-
https://mirrors.aliyun.com/composer/✅ 正确（带斜杠） -
https://mirrors.aliyun.com/composer❌ 404（缺斜杠） -
http://mirrors.aliyun.com/composer/❌ 被 Composer 2.x 主动拒绝（强制 HTTPS）
镜像不加速依赖解析，只加速网络 IO
很多人发现换镜像后 composer update 还卡在 Resolving dependencies，这不是镜像失效，而是根本不在镜像作用范围内。该阶段是 Composer 在本地用 SAT 求解器穷举满足所有 require 约束的版本组合，纯 CPU + 内存计算，和网络无关。
镜像只影响以下环节：
-
Loading composer repositories（拉取顶层packages.json） -
Downloading（下载 zip/tar 包或 clone git） -
Fetching package information（拉取单个包的composer.json）
如果你的 composer.json 里写的是 "monolog/monolog": "^1.0 || ^2.0 || ^3.0" 这类宽泛约束，解析过程本身就可能耗时数十秒——换哪家镜像都救不了。
项目级配置为何比全局更可靠？权限与覆盖逻辑决定的
全局配置（composer config -g repo.packagist ...）写入的是当前用户的 ~/.composer/config.json，而 CI 环境（GitHub Actions、GitLab Runner）、宝塔面板、Docker 构建通常以 www-data 或 runner 用户身份运行命令，根本读不到你的个人配置。
项目级配置写进 composer.json 的 repositories 字段，拉代码即生效，且优先级高于全局。关键点：
- 执行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（无-g）会自动 merge 到repositories数组中，key 固定为"packagist" - 如果原
composer.json是"repositories": {}，命令会转成标准数组格式并插入；如果是"repositories": []，则直接 push 进去 - 已有私有源？别手动编辑 JSON —— 手动易出引号/逗号错误，用
composer config命令追加最安全
真正容易被忽略的，是 composer.lock 文件里的源记录。换镜像后首次 install 若报 hash 不一致，必须删掉 vendor/ 和 composer.lock 重来，否则旧 lock 仍试图从 packagist.org 校验包。
