项目级配置比全局更可靠，因其写入composer.json后拉代码即生效，不受用户权限（如ci runner、宝塔www用户）或docker容器环境干扰；安全追加packagist镜像需运行composer config repo.packagist composer https://mirrors.aliyun.com/composer/，该命令仅追加不覆盖私有源，但要求repositories为对象而非数组，且url末尾必须带斜杠。
项目级配置为什么比全局更可靠
因为项目级配置写进 composer.json，拉代码即生效，不依赖执行用户、不被 Docker 容器或宝塔的 www 用户权限干扰。全局配置（composer config -g）只对当前 shell 用户生效，CI 流水线用 runner 用户、宝塔用 www 用户，你配了 root 的，它们根本读不到。
怎么安全追加 packagist 镜像而不覆盖私有源
别手动编辑 composer.json 的 repositories 字段——格式错一个逗号就让 composer install 直接报错。正确做法是进项目根目录后运行：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/
这条命令会自动处理三种情况：
- 如果
"repositories": {}（空对象），它转成标准格式并插入"packagist"子项 - 如果
"repositories": []（空数组），它会报错；需先手动改成{}再重试 - 如果已有其他源（如 Git 私有包），它只追加
packagist，不删不改原有内容
配完不生效？检查这三处硬伤
项目级配置优先级高于全局，哪怕你刚配好全局，只要 composer.json 里有 repositories 字段，就会被覆盖且不报错。常见失效原因：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
repositories字段本身写成了"repos"或"repositories.packagist"——Composer 只认"repositories": { "packagist": { ... } } - URL 少了末尾
/，比如写成https://mirrors.aliyun.com/composer→ 实际请求变成/composerpackages.json导致 404 - 误加了
"packagist.org": false这类禁用语句，会彻底关掉基础包校验，后续composer install直接失败
换源后仍卡在 Loading composer repositories 怎么办
不是镜像没走，是 Composer 优先读缓存和旧 composer.lock 里的元数据地址。必须清掉两样东西：
- 运行
composer clear-cache - 删掉项目下的
vendor/和composer.lock - 再执行
composer install --no-cache（禁用缓存强制走新源）
别试图保留旧 composer.lock——它记录的是 packagist.org 的包哈希，和镜像返回的元数据不兼容，必然报 hash does not match。
最常被忽略的一点：改完 composer.json 后，必须运行 composer update --lock，否则 composer.lock 里还是旧源地址，下次 CI 构建照样卡住。
