composer install报“不安全链接”错误，基本可确定是secure-http配置与镜像源协议不匹配；composer 2.0+默认拒绝http仓库，需改用https镜像源（如https://mirrors.aliyun.com/composer/），并执行composer config -g repo.packagist composer [url]、clear-cache，而非禁用secure-http。
Composer install 报“不安全链接”错误，基本可以确定是 secure-http 配置与镜像源协议不匹配——不是网络不通，也不是权限问题，而是 Composer 主动拒绝了 HTTP 协议的仓库地址。
为什么报 “The 'http://' URL is not allowed”
Composer 2.0+ 默认开启 secure-http，只要你在 repositories 里写了 http:// 开头的地址（比如 http://packagist.phpcomposer.com），它在解析阶段就直接中止，根本不会尝试连接。你看到的错误不是运行时失败，而是配置校验失败。
- 该检查发生在读取
composer.json时，早于任何网络请求 -
composer config secure-http false（不带-g）无效：这个命令只改项目级配置，而secure-http是全局强制开关 - 即使你手动编辑
composer.json加了"secure-http": false，Composer 也完全忽略——它只认~/.composer/config.json或$COMPOSER_HOME/config.json里的全局设置
正确切换 HTTPS 镜像源的三步操作
优先用 HTTPS 替代 HTTP，而不是关安全开关。国内稳定可用的 HTTPS 镜像源有：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 阿里云：
https://mirrors.aliyun.com/composer/（注意末尾斜杠） - 华为云：
https://mirrors.huaweicloud.com/repository/php/ - Laravel China：
https://packagist.laravel-china.org（无斜杠，但有效）
执行命令时必须带 composer 类型标识，否则会被忽略：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
- 别漏掉中间的
composer——这是仓库类型，不是拼写错误 - 执行后立即验证：
composer config -g repo.packagist应输出完整 HTTPS 地址 - 换源后务必清缓存：
composer clear-cache，否则旧失败记录仍会干扰
临时禁用 secure-http 的风险和操作要点
仅限调试或内网离线环境，生产环境绝对不要用。关掉之后，Composer 不再校验仓库协议，但也不再校验包签名，供应链投毒风险直线上升。
- 必须用全局命令：
composer config -g secure-http false - Windows 用户改完要重启终端，否则
composer config -g --list看不到变化 - 关掉之后，仍需手动配 HTTP 镜像，且 URL 必须带末尾斜杠，例如：
composer config -g repo.packagist composer http://packagist.phpcomposer.com/ - 验证是否生效：
composer diagnose中secure-http行应显示OK（不是Disabled）
真正容易被忽略的是：很多报错看似是“不安全链接”，实际根源是系统时间偏差或 CA 证书缺失，导致 HTTPS 握手失败后被误判为协议问题。如果换了 HTTPS 镜像还报错，先跑一遍 date 和 curl -I https://mirrors.aliyun.com/composer/packages.json ——别急着改 Composer 配置。
