团队应将镜像写入composer.json的repositories数组，首项为{"packagist.org": false}以禁用硬编码官方源，次项为带末尾斜杠的镜像url，且必须删除vendor与composer.lock后执行composer install。
团队不该用 composer config -g 配全局镜像，它在 CI、新成员、多用户环境下大概率失效，且无法版本化、不可审计。真正统一的方式，是把镜像写进项目 composer.json 的 repositories 数组，并满足三个硬性条件。
为什么 repositories 必须是数组，且首项为 {"packagist.org": false}
Composer 2.2+ 把 packagist.org 当作硬编码源，仅加镜像 URL 不会禁用它。不显式关掉官方源，一旦镜像返回 404 或超时，Composer 会静默 fallback 到 packagist.org——结果就是部分包走镜像、部分走官方，行为不可预测。
-
"repositories"必须是数组（[]），写成对象（{}）会被完全忽略 - 第一项必须是独立的
{"packagist.org": false}，不能合并进第二项（比如{"packagist.org": false, "type": "composer", ...}是无效的） - 第二项起才是镜像源，
url值末尾必须带/，例如https://mirrors.aliyun.com/composer/；少斜杠会导致请求路径拼成/composerpackages.json，返回 404 后触发 fallback
改完 composer.json 为什么必须删 vendor 和 composer.lock
composer.lock 里存的是每个包的完整 dist URL（比如 https://api.github.com/.../zipball/），它是旧配置下生成的快照。Composer 安装时优先读 lock 文件，完全不重新解析 repositories ——你刚加的镜像，它根本不会走。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 只改
composer.json就跑composer update，包依然从packagist.org下载 - 必须手动执行：
rm -rf vendor composer.lock，再运行composer install（不是update） - CI 脚本里要加
rm -f composer.lock && rm -rf vendor，否则缓存会复用旧 lock - 别信
composer update --dry-run的输出，它不验证元数据源是否生效
如何防止全局镜像污染项目行为
只要项目 composer.json 中定义了 repositories 数组，Composer 就会彻底忽略全局的 repo.packagist 配置。但问题在于：有人可能本地配了全局镜像，又在项目里写了另一个，结果 composer require 等命令因上下文不同读取逻辑不一致，引发混用。
- 团队统一执行：
composer config --global --unset repo.packagist，清空所有成员的全局 Packagist 镜像设置 - 验证是否清空：
composer config --global repo.packagist输出应为空或https://packagist.org - CI 脚本开头加一句
composer config --global --unset repo.packagist，防止单独配置残留 - 私有 VCS 源（如 GitLab 私库）不受影响，因为它们是
type: "vcs"，和repo.packagist无冲突
CI/CD 中怎么确保镜像配置真生效
CI 环境干净但没家目录，~/.composer 不存在，全局配置天然失效。靠人手动配不现实，必须让配置本身可追踪、可验证。
-
composer.json提交到 Git，是唯一能被 CI 读到、被所有人同步的配置载体 - CI 脚本开头加
composer config --list | grep repos，确认实际生效的源是项目级声明 - 不要依赖
COMPOSER_REPO_PACKAGIST环境变量——它只覆盖 URL，不处理{"packagist.org": false}这个开关，fallback 风险仍在 - 如果项目含私有源，把它插在
{"packagist.org": false}之后、镜像源之前，顺序不能错
最容易被忽略的点：镜像只是下载通道，它不决定版本。真正锁住依赖的是 composer.lock + config.platform + composer.json 的约束三者共同作用。写对 repositories 只是第一步，composer.lock 必须提交，且所有机器严格用 install 而非 update 来还原环境。
