composer中文镜像仅加速元数据与包下载，不改变版本选择逻辑；真正决定版本的是composer.json约束、minimum-stability、依赖拓扑及本地sat求解，镜像不同但结果一致的前提是同步完整且缓存已清。
Composer中文镜像本身不改变依赖包的版本排序逻辑，它只加速元数据拉取和 ZIP 包下载；真正决定装哪个版本的，是 composer.json 中的约束表达式、minimum-stability 设置，以及依赖图的拓扑结构——镜像源只是“更快地把同一套规则算出来的结果拿回来”。
镜像不影响版本选择算法，只影响元数据获取速度
Composer 的版本解析（SAT 求解）完全在本地运行，不依赖镜像源内容。无论你用阿里云、清华还是腾讯镜像，只要它们同步完整且及时，composer update 算出的版本组合必然一致。
- 镜像只代理
https://packagist.org/packages.json及其子路径（如/p/monolog/monolog.json），不参与任何约束求解 - 如果你发现换镜像后装了不同版本，大概率是旧缓存未清：执行
composer clear-cache再试 - 新发布的包在镜像中存在同步延迟（通常 5–30 分钟），此时 Composer 可能 fallback 到 packagist.org 或直接报错，不是“选错版本”，而是“找不到最新版”
为什么换了镜像后 composer update 结果变了？
这不是镜像改了排序，而是你暴露了原本被缓存掩盖的问题：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock里记录的是 dist URL，如果之前用的是官方源，lock 文件中仍含"url": "https://api.github.com/..."—— 换镜像后 Composer 不会自动重写这个字段，导致部分包仍直连 GitHub - 某些镜像（如阿里云）不抓取
dev-分支，而 packagist.org 会返回；你 require"monolog/monolog": "dev-main"，换镜像后就找不到匹配项，Solver 只能回退到最近 stable 版 - 项目级
repositories数组中若同时存在私有源和镜像，且顺序写反（镜像在前、私有源在后），Composer 会优先从镜像查包，跳过你的私有 fork —— 这不是镜像“排序”，是仓库优先级规则生效
prefer-stable 和 minimum-stability 才真正控制版本倾向
想让 Composer 倾向装 stable 版而不是 dev 版，靠换镜像是没用的。必须显式配置稳定性策略：
-
"minimum-stability": "stable"是硬性门槛：所有包默认只考虑 stable 版本，除非你在 require 中明确写"dev-main" -
"prefer-stable": true是软性偏好：当多个版本都满足约束时（比如"^2.0"同时匹配2.1.0和2.1.0-beta1），优先选 stable - 这两个配置必须写在
composer.json根节点，不能放在repositories或其他嵌套位置 - 注意：设了
"minimum-stability": "dev"却指望镜像帮你“过滤掉不稳定版”，纯属误解
中文镜像对私有包、VCS 包完全无效
镜像只服务 packagist.org 上公开注册的 PHP 包。以下情况镜像不参与、也不影响版本排序：
- require 中写了 Git 地址：
"myorg/utils": "dev-feature-branch"→ 直连 Git 服务器，走 SSH/HTTPS，和镜像无关 - repositories 中 type 为
vcs或package的私有源 → Composer 绕过所有镜像，只查你声明的 URL - 使用
path类型本地依赖："my/local-package": "*" → 读取本地文件系统，无网络请求
- 扩展包（如
ext-zip）由 PHP 编译安装，镜像对其无任何作用
最容易被忽略的一点：镜像是否生效，不能只看命令有没有报错，必须跑 composer install -vvv 看日志里实际请求的域名是不是你配的镜像地址；否则你以为换成功了，其实还在默默连 packagist.org。
