因为镜像同步是服务端定时拉取packagist.org元数据的行为，客户端composer config仅修改本地配置，既不触发同步也无法保障镜像完整性；需用packagist-mirror等工具配合shell脚本实现带锁、校验、告警的自动化同步。
为什么直接用 composer config 设置镜像源不适用于自动化同步
因为 composer config 修改的是本地用户级或项目级配置，而镜像源同步本质是服务端行为——需要定期拉取 packagist.org 的元数据（如 packages.json、provider-*.json 等），并生成可被客户端正常解析的静态文件结构。直接改客户端配置既不触发同步，也无法保证镜像完整性。
真正要自动化的，是服务端镜像逻辑，常见方案是使用 packagist-mirror（PHP 实现）或 packagist-proxy（Go 实现），但它们都不自带定时同步能力；必须靠 Shell 脚本调度 + 检查机制兜底。
- 同步失败时不会自动重试，需在脚本中显式判断
exit code和关键文件时间戳 - 镜像目录若被并发写入（如多个 cron 同时跑），可能损坏
providers/下的压缩包索引 -
packagist-mirror默认只同步 top 1000 包，全量同步需手动开启--full且耗时极长（数小时），脚本里必须区分场景
如何用 Shell 脚本安全触发 packagist-mirror 全量同步
假设已部署 packagist-mirror 到 /opt/packagist-mirror，且 PHP 环境就绪。核心不是“执行命令”，而是“控制执行时机与边界”：
- 用
flock -n /tmp/packagist-mirror.lock防止重复启动，避免索引错乱 - 同步前检查磁盘剩余空间：
df /data/mirror | awk 'NR==2 {print $5}' | sed 's/%$//'，低于 15% 则跳过 - 全量同步命令示例：
php bin/console packagist:mirror --full --no-interaction --env=prod，注意加--no-interaction否则会卡住 - 同步后校验
/data/mirror/packages.json是否存在且mtime在 5 分钟内更新：find /data/mirror/packages.json -mmin -5 2>/dev/null
怎样让 Composer 客户端自动识别你的镜像源（无需逐个 config）
不能依赖每个开发者手动运行 composer config -g repo.packagist composer https://your-mirror.com。更可靠的方式是服务端劫持：在 Web 服务器（如 Nginx）中把所有对 packagist.org 的请求 302 重定向到你的镜像域名，并确保响应头包含 Content-Type: application/json。
如果只能做客户端侧统一配置，推荐用 Composer 的 repositories 全局替换机制，配合脚本注入：
- 生成配置文件
/etc/composer/config.json（系统级），内容为：{"repositories": {"packagist.org": {"type": "composer", "url": "https://your-mirror.com/"}}} - 确保 Composer 启动时加载它：
COMPOSER_HOME=/etc/composer composer install，或设环境变量COMPOSER_HOME指向该路径 - 注意：此方式要求所有运行 Composer 的用户都使用同一
COMPOSER_HOME，否则会被用户家目录下的~/.composer/config.json覆盖
同步日志和失败告警怎么接入现有运维体系
单纯写 echo >> /var/log/packagist-sync.log 不够。关键是要分离“执行流”和“可观测性”：
- 用
logger -t packagist-mirror将日志发给 rsyslog，再由 Logstash 或 Fluent Bit 推送到 ELK - 失败时（
$?非 0 或校验失败），调用企业微信/钉钉机器人 webhook，payload 中必须带$(date +%s)和$(hostname)，方便排查多节点问题 - 避免在脚本里硬编码 token，改用
cat /etc/packagist/secrets/webhook_url读取，权限设为600 - 每次同步完成，写一个带哈希的标记文件：
sha256sum /data/mirror/packages.json > /data/mirror/SYNCED_AT，下次同步前比对，防止无意义重复跑
镜像同步最麻烦的从来不是命令怎么写，而是元数据不一致时无法快速定位是上游变更、网络截断，还是本地解压损坏——所以校验环节不能省，也不能只靠 ls -l 看文件大小。
