composer本身不支持负载均衡策略，真要扛住ci/cd高并发，必须同时满足：多镜像显式声明+canonical:false+调高parallel-downloads和http-max-concurrent-downloads参数。
composer 本身**不支持负载均衡策略**——它不会轮询、测速、加权或自动故障转移。所谓“配置负载均衡”，实际是绕过 Composer 原生限制，用组合配置模拟出容灾与并发能力。直接上结论：真要扛住 CI/CD 高并发，必须同时满足三项条件：多镜像显式声明 + canonical: false + 并行下载参数调高。
为什么 composer config -g repo.packagist 配多个地址没用
这个命令只能存一个值，反复执行只会覆盖，不是追加。底层 repo.packagist 是单值字段，绑定唯一 RepositoryInterface 实例。你看到的“多个镜像”效果，只可能来自项目级 composer.json 的 repositories 数组——但那也不是负载均衡，只是线性查找。
- 数组里写三个镜像，
composer install永远只发请求给第一个，除非它明确返回404 - 第一个镜像超时（
curl: (28) Operation timed out）、502 或 SSL 错误，会卡满默认 30 秒才报错退出，第二个根本不会触发 - 漏写
"canonical": false，Composer 会把第二个镜像当成“合并源”静默忽略，连请求都不发
怎么让多个中文镜像真正协同工作
靠顺序控制“兜底逻辑”，而非分摊流量。典型安全结构如下（必须手写进项目 composer.json）：
{
"repositories": [
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"},
{"type": "composer", "url": "https://mirrors.tuna.tsinghua.edu.cn/composer/"},
{"type": "composer", "url": "https://mirrors.tencent.com/composer/"}
],
"packagist.org": false
}
- 每个
url末尾必须带/，否则拼接packages.json时路径错乱（如变成/composerpackages.json） -
"packagist.org": false必须写在根节点，不是repositories里；漏掉这句，Composer 仍会隐式启用官方源，导致私有包被跳过 - 所有镜像都要能返回合法
packages.json（可用curl -I https://mirrors.aliyun.com/composer/packages.json验证 HTTP 状态码）
并行下载才是提升并发的关键配置
单镜像扛不住 CI 批量构建，不是因为“选错了源”，而是所有节点都挤在同一个 IP 下载 dist 包，触发服务端限流（如 429 Too Many Requests）。这时靠 fallback 没用，得让单次 install 自己并发拉取。
- 全局启用：
composer config -g parallel-downloads 15（推荐值，最高支持 20） - 强制提高连接数：
composer config -g http-max-concurrent-downloads 8 - 禁用无效重试：
composer config -g github-protocols ["https"]，避免 SSH 超时拖慢整体 - 注意：这些参数仅在 Composer 2.9.6+ 生效，旧版本不识别
parallel-downloads
什么时候该考虑反向代理层
只有两种情况值得引入 Nginx/HAProxy：一是企业强制审计要求所有 Composer 流量走统一出口；二是需要地理路由（如中国节点打阿里云，海外节点直连 packagist.org + 强制 IPv4）。但必须分层设计：
- 前端用 HAProxy（
mode tcp），做连接卸载和leastconn分发，避免连接堆积 - 后端 Nginx（
mode http）只负责 TLS 终止和缓存，proxy_pass必须指向真实镜像站完整路径（如https://mirrors.aliyun.com/composer/），不能少斜杠 - 若用自签名证书，客户端必须配
composer config -g secure-http false，否则卡在cURL error 60
最常被忽略的一点：所有镜像 URL 的协议、域名、路径结构必须完全一致，否则 packages.json 里生成的 dist.url 会指向错误地址，下游下载直接失败。
