必须配置阿里云镜像源，因官方packagist位于欧洲，dns解析慢、tls握手卡、并发限流严，导致resolving dependencies卡顿或超时；执行composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/即可全局生效。
国内直接用官方 Packagist 源下载依赖，大概率会卡在 Resolving dependencies... 或超时失败。这不是你网络差，是源服务器物理距离远、TLS握手慢、并发限流严——必须配中文镜像，否则连 composer install 都跑不全。
为什么默认源在国内基本不可用
官方 https://packagist.org 位于欧洲，DNS 解析慢、CDN 覆盖弱、HTTP/2 支持不稳定。实测常见现象包括：
-
composer require guzzlehttp/guzzle卡住 2 分钟以上，最后报Connection timed out -
composer update在 “Loading composer repositories” 阶段停滞，Ctrl+C后发现只下载了不到 3 个包 - 即使成功，
vendor/下的包文件哈希校验失败，提示Package integrity check failed
这些不是 Composer 本身 bug，而是源不可靠导致的中间态损坏。不换镜像，后续所有依赖操作都不可信。
阿里云镜像配置（当前唯一稳定可用）
Packagist.phpcomposer.com 已于 2026 年 4 月正式停服，别再用它。目前唯一推荐且长期维护的是阿里云镜像：https://mirrors.aliyun.com/composer/。
配置方式分两种，优先选全局配置（一次设置，所有项目生效）：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 运行命令：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 验证是否生效：
composer config -g repo.packagist应输出https://mirrors.aliyun.com/composer/ - 若提示
Permission denied，说明用户家目录权限受限，改用项目级配置：在项目根目录执行composer config repo.packagist composer https://mirrors.aliyun.com/composer/，该配置写入当前项目的composer.json的repositories字段
注意：config -g 是全局，config（无 -g）是当前项目。别混淆，否则镜像只在某个目录下生效，换个项目又卡住。
镜像配置后仍失败的三个关键排查点
配了镜像还失败？大概率是以下三处之一没处理好：
-
composer.lock文件残留旧源记录：删除该文件，再跑composer install。它不会重建依赖树，但会强制按新镜像重拉所有包 - 公司内网或代理拦截 HTTPS 请求：临时关掉代理，或让运维放行
mirrors.aliyun.com的 443 端口；测试命令：curl -I https://mirrors.aliyun.com/composer/packages.json，返回200 OK才算通 - PHP 进程禁用了
proc_open()（常见于共享主机）：运行php -i | grep disable_functions，如果输出含proc_open，则 Composer 根本无法解压 zip 包——这时只能本地装好vendor/和composer.lock，再整体上传
镜像只是起点，标准化管理还得靠 lock 文件和 install 流程
镜像解决的是“下载快不快”，但真正实现标准化，靠的是 composer.lock + composer install 这套组合：
- 团队协作时，
composer.lock必须提交 Git，不能忽略；它锁定了每个包的精确版本和哈希值，确保所有人install出来的东西一模一样 - 线上部署必须用
composer install --no-dev --optimize-autoloader：去掉开发依赖、生成优化后的自动加载映射，避免require-dev中的 PHPUnit 等工具被误装进生产环境 - 严禁在线上跑
composer update：它会无视lock文件重新解析依赖，可能引入不兼容变更——这个动作只应在本地开发环境做，并且每次update后必须提交新的composer.lock
镜像配得再快，如果 lock 文件不统一、install 命令不规范，依赖照样会乱。标准化不是“能装上就行”，而是“装出来的结果可预期、可复现、可审计”。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
