旧版 composer 1.x 因协议不兼容无法使用阿里云等镜像，因其仅支持 v1 元数据而镜像已默认提供 v2 格式；php ≤ 7.4 项目须锁定 1.10.22 并清缓存回退官方源，php ≥ 8.0 则必须升级至 composer 2.9.6 才能正常使用镜像。
旧版 Composer（1.x）无法使用新版镜像源，不是配置错了，而是协议层面不兼容——它根本不认识 https://mirrors.aliyun.com/composer/ 返回的元数据格式，强行切镜像只会报 404 或 “could not find package”。必须升级 Composer 本体，且要分清 PHP 版本约束。
Composer 1.x 为什么连不上阿里云/腾讯云镜像？
Composer 1.10.22（最后一个 1.x 版）用的是 v1 协议解析 packages.json，而国内镜像站自 2022 年起已默认只提供 v2 格式元数据。你执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 后，composer update 看似走镜像，实则收到的是空响应或格式错误，最终 fallback 到 packagist.org（若网络不通就彻底失败）。
- 典型错误：「Could not fetch https://mirrors.aliyun.com/composer/p2/topthink/think-orm.json」或直接卡在「Loading composer repositories」
- 验证方式：手动访问该 URL，如果返回 404 或 JSON 中含
"packages"字段（v1 格式），说明镜像未启用兼容模式——但阿里云、腾讯云等早已关闭 v1 兼容 - PHP ≤ 7.4 的项目不能直接升 Composer 2.x，因为 2.x 要求 PHP ≥ 8.0；此时只能继续用 1.x，但必须接受「无法用主流镜像」的事实
PHP 7.4 及以下必须锁死 Composer 1.10.22 + 清缓存
如果你的项目跑在 PHP 5.6/7.0/7.4 上，别折腾镜像，先保住能装包。Composer 官方已停止为 1.x 提供镜像适配，唯一可行路径是让本地缓存“干净”地指向旧源。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先执行
composer clear-cache—— 否则缓存里残留的 v2 格式碎片会干扰解析 - 强制切回官方源（哪怕慢）：
composer config -g repo.packagist composer https://packagist.org - 确认版本：
composer --version必须显示1.10.22；如果不是，运行composer self-update 1.10.22 - 避免
composer update触发远程解析：加--with-all-dependencies参数，减少对 packages.json 的依赖遍历深度
PHP 8.0+ 请立刻升级到 Composer 2.9.6
当前（2026 年 6 月）最稳的版本是 2.9.6，它原生支持所有主流镜像的 v2 协议，并修复了私有仓库 token 透传、并行下载中断等老问题。升级不是“可选”，而是解决镜像不生效的根本前提。
- 先切回官方源防缓存误判：
composer config -g repo.packagist composer https://packagist.org - 再升级：
composer self-update 2.9.6（不要用--stable，它可能卡在 2.7.7） - 升级后立刻设镜像：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 最后清一次缓存：
composer clear-cache，否则旧 repo 缓存仍会干扰首次update
换镜像后 composer install 还报错？别怪镜像，看 composer.lock
镜像只影响 update 阶段的包发现和下载，不影响 install 阶段的还原逻辑。如果你的 composer.lock 是用旧版 Composer + packagist.org 生成的，里面记录的 dist.url 仍是 https://api.github.com/... 或私有 GitLab 地址，那 install 时根本不会走镜像，而是直连原始地址——这时配再快的镜像也没用。
- 执行
composer update --dry-run确认无报错，再真正运行composer update生成新composer.lock - 检查新 lock 文件顶部的
"packages"下每个包的"dist"字段，URL 应已变成镜像域名（如https://mirrors.aliyun.com/composer/dists/...） - CI/CD 中若仍用
composer install，必须确保该命令运行前 lock 文件已被更新，而不是靠缓存或 git commit 回滚
最关键的细节往往藏在缓存和 lock 文件里：清缓存不是仪式感，是重置元数据解析起点；更新 lock 不是多此一举，是让镜像真正参与进整个依赖生命周期。跳过这两步，换什么镜像都白搭。
