根本原因是停用或不规范镜像地址（如https://packagist.phpcomposer.com）返回301跳转，而中间网络设备对重定向链路中的tls协商或alpn握手异常敏感，直接rst连接；阿里云等现行镜像要求url末尾带/，否则路径错误引发404或302，且项目级repositories字段会完全屏蔽全局配置。
为什么镜像源配置后仍出现 301/302 重定向循环
根本原因不是你配错了 URL，而是某些已停用或不规范的镜像地址（比如 https://packagist.phpcomposer.com）返回 301 跳转到 HTTPS 站点，而中间网络设备（企业防火墙、校园网出口）对重定向链路中的 TLS 协商或 ALPN 握手异常敏感，直接 RST 连接。现象是 composer install 卡在 “Loading composer repositories”，日志里反复出现 Connection reset by peer。
这类重定向本身合法，但 Composer 默认启用连接复用和并行下载，在 TLS 会话重用失败时容易触发重试风暴，放大问题。
-
composer config -g repo.packagist输出必须是完整 JSON：{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}，少一个/或漏type字段，Composer 就会 fallback 到官方源并走重定向 - 阿里云、腾讯云等现行镜像站都要求末尾带
/，否则拼出的packages.json路径错误，返回 404 后可能被代理层转成 302 - 别用
composer diag验证——它固定连https://packagist.org，跟你的镜像配置无关
如何验证重定向是否真由网络设备拦截引发
绕过 Composer 层，直测 PHP 底层 HTTPS 能力。关键不是“能不能 curl 通”，而是“PHP 的 stream/curl 是否能稳定完成 TLS 握手”。
执行这三行命令，顺序不能错：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
php -r "echo file_get_contents('https://mirrors.aliyun.com/composer/packages.json');"—— 若报Connection reset by peer，基本锁定 TLS 协商被截断 -
php -d openssl.cipher_suite=TLSv1.2 -r "echo file_get_contents('https://mirrors.aliyun.com/composer/packages.json');"—— 强制降级 TLS 版本，若成功说明设备不兼容 TLS 1.3 -
curl --http1.1 -I https://mirrors.aliyun.com/composer/packages.json—— 禁用 HTTP/2，若返回 200 而 Composer 仍失败，说明是 HTTP/2 复用机制与中间设备冲突
Composer 配置层规避重定向风险的实操参数
不换镜像，只调低协议强度和连接压力，比盲目切源更可控。这些设置写入全局配置后，所有后续命令自动生效。
- 关闭并行下载：运行
composer config -g parallel.downloads 1，避免多连接并发触发设备策略 - 强制 HTTP/1.1：运行
composer config -g http.http_version 1.1（需 Composer ≥ 2.5） - 指定 TLS 方法：手动编辑
~/.composer/config.json，在options.ssl下加"crypto_method": 3072（即TLSv1_2_METHOD） - 禁用 TLS 验证（仅限可信内网）：设环境变量
COMPOSER_DISABLE_TLS=1，但会丧失证书校验，不建议长期开启
重定向问题常被忽略的两个关键点
一是 Windows 用户改完配置必须重启终端，否则 composer config -g 写入的文件不会被新 shell 读取；二是 CI 流水线中，www-data 或 gitlab-runner 用户执行命令，而 -g 默认写的是当前登录用户家目录，权限错位等于没配。
最隐蔽的坑：项目级 composer.json 里有 "repositories" 字段，会完全屏蔽全局 repo.packagist 配置——此时 composer config repo.packagist（不带 -g）才反映真实生效源。
