最可控的修改方式是直接编辑全局config.json文件，需确认路径为~/.composer/config.json（linux/macos）或%appdata%\composer\config.json（windows），用utf-8无bom编码编辑器打开，确保顶层repositories数组首项为{"packagist.org": false}，第二项起为type="composer"且url末尾带/的镜像源，改完执行composer clear-cache并重启终端验证。
直接编辑 ~/.composer/config.json（Linux/macOS）或 %APPDATA%\Composer\config.json（Windows）
这是最可控的修改方式，尤其适合命令行配置失效、权限受限或需要精确控制字段结构的场景。关键不是“能不能改”，而是改对位置、格式和字段名。
- 先确认路径：
~/.composer/config.json（Linux/macOS）或%APPDATA%\Composer\config.json（Windows），别错写成项目根目录下的composer.json - 用 UTF-8 无 BOM 编码的编辑器打开（VS Code 默认符合，记事本不行）
- 确保顶层有
"repositories"字段；没有就手动加，不要破坏 JSON 结构——首行必须是{，所有键和字符串用英文双引号，末尾不能多逗号 - 必须显式禁用默认源：
{"packagist.org": false}要作为"repositories"数组的第一项 - 镜像 URL 必须带结尾斜杠：
"url": "https://mirrors.aliyun.com/composer/"，少一个/就会静默 fallback 到 packagist.org
repositories 数组顺序和结构必须严格满足
Composer 按数组顺序查找包，且对 "packagist.org": false 的存在与否有硬性判断逻辑。错序或缺失会导致回源失败。
- 第一项必须是
{"packagist.org": false}，否则仍会向官方源发起请求 - 第二项起才是镜像源，类型必须为
"type": "composer"，不能写"type": "packagist"（Composer ≥2.0 已废弃） - 如果同时配了私有 Git 包源，要把它们放在镜像源之后，避免覆盖或冲突
- 错误示例：
{"type":"composer","url":"https://mirrors.aliyun.com/composer"}（缺末尾/）→ 请求地址变成.../composerpackages.json→ 404
为什么手动改 config.json 后 composer install 还走 packagist.org
常见现象不是配置没写，而是 Composer 根本没读到你改的字段，或者缓存未清导致旧元数据仍在生效。
- 检查是否误改了项目级
composer.json中的"repositories"：全局行为只认~/.composer/config.json里的"repositories"字段 - 运行
composer config -g repo.packagist看输出：如果为空或报错，说明字段名写错了（比如写成repos.packagist多了个s） - 执行
composer clear-cache，否则旧的packages.json缓存可能让依赖解析继续走官方源 - 验证真实请求域名：运行
composer update -vvv | grep GET，确认日志里出现的是mirrors.aliyun.com而不是packagist.org
Windows 下编辑 config.json 容易踩的坑
路径、权限和终端环境不一致是 Windows 用户最常卡住的地方，不是镜像本身的问题。
-
%APPDATA%\Composer\config.json可能被系统隐藏，需在文件资源管理器地址栏直接粘贴路径访问 - 用 CMD 或 PowerShell 修改后，Git Bash 里运行
composer命令可能仍读不到新配置——因为 Git Bash 默认不继承 Windows 环境变量，建议统一用同一终端操作 - 如果提示“拒绝访问”，别硬改，先用
composer config -g --unset repos.packagist清掉旧配置，再重试手动编辑 - 改完务必重启终端，否则
composer config -g repo.packagist可能查不到刚写入的内容
