先确认是否为镜像同步延迟所致：阿里云、腾讯云、清华源等主流中文镜像存在5–30分钟元数据同步延迟，新包未同步时请求provider文件可能返回404或伪造403；需用curl -i验证镜像url状态码，并检查user-agent拦截、项目级repositories覆盖及配置格式（repo.packagist单数、type值、末尾斜杠）是否正确。
composer install 报 403 但 URL 是镜像域名，先确认是不是同步延迟
阿里云、腾讯云、清华源等主流中文镜像都存在 5–30 分钟的元数据同步延迟。一旦上游 packagist.org 新发布包，镜像还没拉取完，你请求 provider-2025-10%24.json 就会直接 404 或 403（部分镜像反代失败时伪造 403）。这不是配置错，也不是权限问题。
- 用
curl -I https://mirrors.aliyun.com/composer/p/provider-2025-10%24.json检查响应状态码——若返回 404，大概率是同步未完成 - 换一个已知存在的老包测试：
curl -I https://mirrors.aliyun.com/composer/p/phpunit/phpunit.json，如果这个也 403，才需进一步排查 - 别只看日志里“403”就断定是认证问题；先盯住 URL 域名和路径，判断是否指向镜像而非
api.github.com
镜像返回 403 却没报具体原因？检查是否被 UA 拦截或代理污染
部分企业防火墙、出口网关或老旧镜像站会拦截默认的 User-Agent: Composer/2.x，返回 403 而非 404/502。这种拦截不发任何提示，只静默拒绝。
- 手动模拟请求：
curl -v -A "Composer/2.5" https://mirrors.aliyun.com/composer/packages.json，观察是否同样 403 - 临时绕过 UA 拦截：
composer config -g http.header "User-Agent: Mozilla/5.0 (compatible; Composer)" - 若走代理，检查
http.proxy和https.proxy配置是否携带了内部认证头（如X-Auth-Token），这类头可能被镜像服务端拒收
切镜像后依然 403？重点查全局配置是否真正生效
composer config -g repo.packagist 有输出 ≠ 镜像在用。Composer 对配置格式极其敏感，漏掉任意一环都会静默 fallback 到官方源。
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 必须带
-g参数，且键名是单数repo.packagist（不是repos.packagist） - URL 必须以
/结尾：https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌ - type 值不可省略：正确命令是
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 运行
composer install -vvv | head -n 10，第一行必须出现Downloading https://mirrors.aliyun.com/才算真正命中镜像
项目级 repositories 覆盖了全局镜像？这是最隐蔽的坑
很多 Laravel 项目或 CI 模板自带空 "repositories" 字段，一旦存在，Composer 就完全忽略全局 repo.packagist 设置——不是优先级低，是彻底跳过，且不警告。
- 打开项目根目录下的
composer.json，搜索"repositories"字段 - 如果是数组形式
"repositories": []，删掉整段；如果是对象"repositories": {}，确保里面只有一条"packagist": false或明确指向镜像 - 更稳妥的做法：进项目目录，执行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加-g），它会把镜像安全写入composer.json的repositories对象中
真正棘手的不是 403 本身，而是它常伪装成其他问题：缓存残留会让旧 hash 去新镜像找不存在的路径；项目级配置会悄无声息覆盖全局设置；而同步延迟引发的 403，又和 GitHub Token 失效的报错长得一模一样。动手前，先盯住 -vvv 日志里的 URL，再决定该 curl 还是该删 lock 文件。
