为什么Composer官方推荐在特定场景下关闭全局国内镜像？-composer-PHP中文网

全局镜像在ci/cd中失效，因ci以非交互用户运行且忽略全局配置，只读取项目级composer.json中的repositories；团队协作应统一用项目级配置并禁用packagist.org，私有包需显式声明避免误走镜像。

为什么composer官方推荐在特定场景下关闭全局国内镜像？

为什么全局镜像在 CI/CD 中反而失效

CI/CD 流水线（如 GitHub Actions、GitLab CI）默认以非交互式用户（runner、www 或 root）运行命令，而 composer config -g 写入的是当前登录用户的 ~/.composer/config.json。若未显式切换用户或指定 --working-dir=.，全局配置根本不会被读取。

更关键的是：多数 CI 工具（如 php-actions/composer）会忽略全局配置，只加载项目根目录下的 composer.json 中的 repositories 字段。此时即使你本地 composer config -g 配得再准，CI 里仍走 packagist.org，卡在 Loading composer repositories。

CI 中应改用 composer config --no-interaction --working-dir=. repositories.packagist composer https://mirrors.aliyun.com/composer/
避免缓存 ~/.composer/ 目录——不同项目镜像配置会互相污染
若用了 actions/cache，缓存路径必须包含 vendor/ 和 composer.lock，但排除 ~/.composer/

为什么团队协作时项目级配置更可控

全局配置无法被 Git 跟踪，新人 clone 项目后行为不一致：有人配了镜像，有人没配，composer install 结果可能完全不同。而把镜像声明写进 composer.json 的 repositories 字段，所有人拉代码即生效，且可审查、可回滚。

但要注意：项目级配置会完全屏蔽全局镜像，哪怕你 composer config -g 写对了也无效。一旦 composer.json 里存在 "repositories" 块（哪怕空数组），Composer 就跳过全局逻辑，直接按该字段解析。

推荐写法：

{ "repositories": [{ "type": "composer", "url": "https://mirrors.aliyun.com/composer/" }], "packagist.org": false }

"packagist.org": false 必须显式加上，否则 Composer 仍会 fallback 到官方源
URL 末尾不能多斜杠（https://mirrors.aliyun.com/composer/ ✅，https://mirrors.aliyun.com/composer// ❌）

为什么某些私有包场景必须禁用镜像

国内镜像只同步 public 包，不代理私有仓库（如公司内网 Nexus、GitLab Package Registry）。如果项目依赖私有包，而全局镜像又没正确配置 fallback，Composer 会在查找私有包时误走镜像地址，返回 Package not found 或 404。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

此时不是“关掉镜像”，而是精准控制：让公共包走镜像，私有包走原地址。这只能靠项目级 repositories 数组实现，例如：

{ "repositories": [
  { "type": "composer", "url": "https://mirrors.aliyun.com/composer/" },
  { "type": "package", "package": { "name": "mycorp/internal-lib", "version": "1.0.0", "dist": { "url": "https://nexus.mycorp.com/repository/php/internal-lib-1.0.0.zip" } } }
]}

镜像 URL 必须放在数组首位，确保优先匹配
私有包定义不能依赖全局配置，必须显式写进 repositories
执行 composer update --lock 后，composer.lock 才会记录真实下载源

验证是否真走镜像的唯一可靠方式

composer config -g repo.packagist 只显示配置值，不反映实际行为。真正起作用的是 Composer 的读取顺序：环境变量 > 项目级 composer.json > 全局配置。只要其中任一环节覆盖，就失效。

最准验证方法是加 -vvv 看日志：

运行 composer require monolog/monolog --no-install -vvv
滚动日志中找 Downloading https:// 行，确认域名是 mirrors.aliyun.com 或 mirrors.tuna.tsinghua.edu.cn
若看到 https://repo.packagist.org/p2/...，说明镜像完全没生效

最容易被忽略的是缓存：即使配置改对了，旧缓存里的 packages.json 快照还在，Composer 会继续从里面读元数据。不执行 composer clear-cache，等于白配。