Composer客户端跨越专线网络访问境外私有仓库的稳定路由方案-composer-PHP中文网

composer强制走指定出口ip和dns需绕过系统默认路由：优先配置http-proxy与https-proxy指向专线代理；若无代理，修改/etc/hosts映射域名至vip，并配合curlopt_interface与curlopt_resolve强制出口与解析。

composer客户端跨越专线网络访问境外私有仓库的稳定路由方案

直接走默认路由基本不可用——专线出口 NAT、TLS 握手超时、中间设备重置连接，三者叠加会让 composer install 卡在 Loading composer repositories 阶段长达数分钟甚至失败。必须绕过系统默认 DNS 和 TCP 路径，强制走预设稳定链路。

如何让 Composer 强制走指定出口 IP 和 DNS

Composer 不读 /etc/resolv.conf，也不走 getaddrinfo() 系统调用的默认逻辑；它用 PHP 的 curl 或 stream_context 发起请求，而这两者都支持显式指定 DNS 解析和出口地址。

用 composer config -g http-proxy http://10.20.30.40:8080 + https-proxy 是最简单方式，但前提是专线出口有 HTTP 代理服务（如 Squid、3proxy）且允许 CONNECT 隧道
若无代理，改用 curl backend 并注入 CURLOPT_INTERFACE：在 php.ini 中设 curl.cainfo = /path/to/cacert.pem，再通过环境变量 PHP_CURL_INTERFACE=10.20.30.40（需自定义 PHP 扩展或 patch cURL handler）
更稳妥的是改写 Composer 的 RemoteFilesystem 类，在 get() 前插入 curl_setopt($ch, CURLOPT_INTERFACE, '10.20.30.40')，并配合 CURLOPT_RESOLVE 强制解析域名到目标 IP（例如 "packagist.org:443:192.0.78.15"）

为什么加了 https-proxy 还卡在 TLS handshake timeout

专线出口设备（尤其是国产防火墙或 DPI 网关）会对 TLS ClientHello 做深度检测，若 SNI 域名与证书不匹配、或使用 ALPN 扩展不被识别，会直接 RST 连接。这不是网络延迟问题，是策略拦截。

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

确认代理服务是否透传 SNI：用 curl -v --resolve packagist.org:443:192.0.78.15 https://packagist.org/packages.json -x http://10.20.30.40:8080 测试；若返回 403/502 或空响应，说明代理层被网关阻断
禁用 ALPN 和 TLS 1.3：在代理配置里关闭 ssl_protocols TLSv1.2，并在 Composer 请求中加 curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2)
换用 IP 直连模式：把私有仓库 URL 改成 https://192.0.78.15/packages.json，同时在 satis.json 的 homepage 也写死 IP，并确保证书 Subject Alternative Name（SAN）包含该 IP（否则 PHP 会校验失败）

私有仓库 URL 中的域名解析必须本地可控

即使你配了 https-proxy，Composer 在首次初始化仓库时仍会尝试直连 DNS 查询 A 记录——这个行为发生在 proxy 配置加载之前，无法跳过。

在执行 composer install 的机器上，修改 /etc/hosts，将私有仓库域名映射到专线出口可达的 VIP，例如：10.20.30.41 packages.internal
不要依赖 dns-prefetch 或 curl --resolve 的临时覆盖，因为 Composer 会多次调用 file_get_contents() 和 cURL，路径不一致会导致部分请求走错链路
若用 Docker，必须在 docker run --add-host 里重复声明，镜像内 /etc/hosts 不继承宿主机

专线场景下最易忽略的是证书验证链：私有仓库若用自签名证书，不能只靠 composer config -g secure-http false 关闭 HTTPS 校验——这会引发中间人风险且某些企业安全策略禁止该配置；正确做法是把 CA 证书导入系统信任库，并确保 PHP 的 openssl.cafile 指向同一份 PEM 文件。