阿里云Composer镜像源配置与使用方法-composer-PHP中文网

答案是：阿里云composer镜像配置必须严格满足三要素——键名唯一为repo.packagist、第二参数必填composer类型、url须https且末尾带/；任一错误即静默回退官方源，需通过composer config -g repo.packagist输出完整json验证，并配合clear-cache、删vendor与lock文件后重装。

阿里云composer镜像源配置与使用方法

阿里云 Composer 镜像源配不对，composer install 就永远卡在 Loading composer repositories with package information——不是网络差，是配置静默失效，连报错都没有。

composer config -g repo.packagist 命令必须三要素齐全

这条命令不是“试试看”，而是严格按格式执行才写入成功。漏掉任意一个，Composer 2.x 就会忽略它，继续连 https://packagist.org：

repo.packagist 必须是单数；写成 repos.packagist 或 packagist.org 都无效
中间那个 composer 是 type 字段值，不能省略，也不能当注释处理
url 必须是 HTTPS 且末尾带 /，例如 https://mirrors.aliyun.com/composer/✅；少斜杠会导致请求路径拼成 /composerpackages.json，返回 404 后自动 fallback 到官方源

验证是否真写入：运行 composer config -g repo.packagist，输出必须是完整 JSON 对象，形如：

{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}

返回空、null、报 Key not found，或只返回字符串（如 "https://packagist.org"），都说明没配成功。

项目级配置比全局更可靠，但写法有陷阱

全局配置依赖用户环境（比如宝塔里 www 用户读不到 /root/.composer/config.json），而项目级配置写进 composer.json，Git 可追踪、CI 可复现、新人拉代码即生效。但注意：

进项目根目录后执行 composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加 -g）
该命令会往 composer.json 的 repositories 字段里写入 "packagist" 键——但前提是原 repositories 是对象（{}），不是数组（[]）；如果是数组，它会直接覆盖整个字段，导致私有源丢失
必须显式禁用官方源："packagist.org": false 要和 "packagist" 同级，放在 repositories 对象里；漏掉这行，镜像只是“备选”，不是“唯一”

错误示例：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

"repositories": {"my-private": {...}}

→ 执行命令后变成：

"repositories": {"packagist": {...}, "my-private": {...}}

✅
但如果原来是：

"repositories": [{"type": "vcs", "url": "git@..."}]

→ 命令会把它整个替换成：

"repositories": {"packagist": {...}}

❌ 私有源没了。

换源后必须清缓存 + 重装 vendor 和 lock 文件

composer.lock 文件里硬编码了包的 dist.url 和哈希值，这些路径来自旧源（比如 packagist.org）。直接换镜像后，Composer 仍按原路径去阿里云找 zip 包——但阿里云的路径映射和官方不同，结果就是校验失败、下载中断、甚至 silently skip。

先执行 composer clear-cache
删掉项目下的 vendor/ 目录和 composer.lock 文件
再跑 composer install -vvv，观察日志里是否出现 mirrors.aliyun.com；如果还是 packagist.org，说明镜像根本没走通

别用 composer update 替代——它照着旧 lock 文件里的 dist.url 下载，毫无意义。

验证是否真生效，只看三个硬指标

别靠“好像快了”判断。真正有效的依据只有三个，缺一不可：

运行 composer config -g repo.packagist，输出必须是完整 JSON 对象
运行 composer diagnose，看 “Repo” 行是否显示阿里云地址；若仍是 https://packagist.org，说明被项目级 repositories 覆盖了
运行 composer install -vvv 2>&1 | grep "Downloading"，日志里出现的域名必须是 mirrors.aliyun.com——这才是最终确认

最常被忽略的是第三点：日志里没看到镜像域名，就等于没生效。很多问题其实就卡在这一步，而不是 PHP 版本、网络或权限。