ci中composer config -g不生效的根本原因是权限和作用域错配，ci以非root用户运行而-g写入本地家目录，且镜像配置错误、缓存与lock文件未同步清理、多源不支持fallback、缓存路径错误等问题共同导致构建失败。
CI里composer config -g为啥总不生效
根本原因是权限和作用域错配。CI节点（比如GitHub Actions runner、GitLab CI的docker容器）通常以非root普通用户运行，但你本地执行的composer config -g写进了自己家目录下的~/.composer/config.json，CI根本读不到。更隐蔽的问题是：repos.packagist（多一个s）、repo.packagist少斜杠、或用了旧版Composer 1.x语法，都会静默失败——composer config -g repo.packagist查出来仍是空，但日志里还卡在Downloading https://packagist.org/packages.json。
实操建议：
- CI脚本开头统一用
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不带-g），直接写入项目级composer.json的repositories字段，提交到Git，所有环境自动继承 - 验证是否真生效：加
-vvv跑composer install，grep日志确认出现mirrors.aliyun.com而非packagist.org - 避免
sudo composer config -g——它把配置写进root家目录，而构建实际跑在runner或www-data用户下
vendor/和composer.lock为什么必须一起删
换镜像后只清缓存不删vendor/和composer.lock，大概率触发哈希校验失败。因为composer.lock里记录的是旧源的dist URL和content-hash，而新镜像（尤其是非官方维护的）对包的分发路径、压缩格式可能有微调，导致校验不通过，报错Package x was not found in the repository或静默跳过部分包，最终vendor/autoload.php为空或缺失类映射。
实操建议：
- CI脚本中明确加两行：
rm -rf vendor/ composer.lock，再执行composer install - 不要只删
vendor/留composer.lock——lock文件锁定的是具体commit hash，比composer.json更抗网络抖动，重生成lock能确保元数据与新镜像一致 - 若项目依赖私有包，先确认
auth.json已安全注入，否则删完重装会卡在认证环节无提示
为什么不能靠“多加几个镜像源”来容灾
Composer不支持源之间的自动fallback。你在composer.json里写多个repositories，只有前一个返回HTTP 404（包确实不存在）才会试下一个；遇到连接超时、502、证书错误，它只会死等默认30秒，不会切源。所谓“堆URL”反而让问题更难定位——日志里全是超时重试，看不出到底卡在哪一个。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
实操建议：
- 放弃
repositories数组里塞多个镜像的思路，专注选一个高可用源：目前https://mirrors.aliyun.com/composer/同步及时、HTTPS完整、支持签名验证，且无已知CDN故障记录 - 用脚本做健康检查：先
curl -I -s -o /dev/null -w "%{http_code}" -m 3 https://mirrors.aliyun.com/composer/packages.json确认返回200，再执行安装；403需补User-Agent头，404说明镜像临时不可用 - 设
COMPOSER_IPV4=1环境变量，强制走IPv4，绕过IPv6探测延迟（某些云主机DNS解析慢就卡在这一步）
缓存该缓~/.composer/cache还是vendor/
必须缓存~/.composer/cache，绝不能缓存vendor/。前者只存下载的zip包和元数据，跟composer.lock哈希强绑定，与PHP版本、OS架构完全无关；后者包含autoloader编译产物，缓存错环境（比如CI用PHP 8.5构建，上线跑PHP 8.4），直接报Class not found。
实操建议：
- GitHub Actions示例：
key: ${{ runner.os }}-php-${{ matrix.php }}-composer-${{ hashFiles('**/composer.lock') }} - GitLab CI示例：
cache: key: ${PHP_VERSION}-composer-cache; paths: [ ~/.composer/cache ] - 别漏
--prefer-dist参数：它强制走预构建zip包，避免Git clone失败、SSH权限缺失或协议阻塞，这是应对网络波动最有效的单点优化
真正鲁棒的CI脚本，不是堆参数或换源频率，而是把composer.json里的镜像配置、rm -rf vendor composer.lock、~/.composer/cache缓存三者串成原子操作。任何一环断开，网络波动就会暴露为构建失败——尤其当镜像同步延迟刚好撞上新包发布时。
