根本原因是三个硬性条件缺一不可：键名必须为单数repo.packagist、type值必须显式指定composer、url须https且末尾带/；任一不符即静默回退官方源，不报错不提示。
composer config -g repo.packagist 命令为什么总不生效
根本原因不是网络或权限，而是三个硬性条件漏掉任意一个，Composer 2.x 就会静默 fallback 到 https://packagist.org，不报错、不提示、也不警告。
-
repo.packagist必须是单数键名——写成repos.packagist或repositories.packagist.org都无效 - 中间必须显式传入
composer作为type值，不能省略；漏掉它，命令看似成功，实际配置被忽略 -
url必须是 HTTPS 协议，且末尾带斜杠：https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（会拼出/composerpackages.json导致 404）
验证是否真写进去了，只看这一行输出：composer config -g repo.packagist。正确结果必须是完整 JSON 对象，例如：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。返回空、null、报 Key "repo.packagist" does not exist，说明压根没写成功。
项目级配置比全局更可靠，尤其在 CI 和宝塔中
全局配置写在 ~/.composer/config.json，但宝塔后台用 www 用户运行，GitHub Actions 用 runner 用户，Docker 构建里甚至没有 ~/.composer 目录——你配的全是“空气”。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 进项目根目录（确保有
composer.json），执行：composer config repo.packagist composer https://mirrors.tuna.tsinghua.edu.cn/composer/（注意：不加-g） - 该命令会自动往
composer.json的repositories字段安全追加，key 固定为"packagist"，不会覆盖已有私有源 - 前提是原
repositories是对象结构（如{}），若为数组（如[]），命令会报错；需先手动改成"repositories": {}再重试 - 千万别手写
"packagist.org": false——这会彻底关掉基础包校验，连php或ext-json都装不上
换源后仍卡在 Resolving dependencies？镜像不背这个锅
镜像只加速下载阶段（Downloading、Fetching package），对依赖解析过程完全无影响。如果你看到卡在 Resolving dependencies，和网络、镜像都无关。
- 这是 Composer 在本地穷举满足所有约束的版本组合，典型诱因包括：
"php": "*"、"minimum-stability": "dev"、或冲突的版本范围（如"^1.0 || ^2.0"） - 求解器可能指数级爆炸，尤其在大型项目中；可临时加
--prefer-lowest或收紧php版本约束来缓解 - 确认是否真走镜像：运行
composer install -vvv，日志中首次请求的packages.json地址应为镜像域名（如https://mirrors.aliyun.com/composer/packages.json），而非packagist.org
改完配置后必须删 vendor 和 composer.lock 再重装
旧 composer.lock 文件里的哈希值和元数据，是基于旧源生成的。即使镜像已生效，Composer 仍会尝试用旧 lock 中的校验信息去匹配新源，导致失败或行为异常。
- 务必执行：
rm -rf vendor/ composer.lock - 再运行：
composer install（不是update） - 如果项目已提交过
composer.lock，团队协作时也建议同步删除并重新生成，避免混用源导致的不一致
最常被跳过的一步是 composer clear-cache——缓存里还存着旧的 packages.json 和元数据，Composer 会优先读缓存，哪怕配置已改，它仍试图从旧地址拉校验信息，结果卡在 DNS 解析或 TLS 握手。
