composer镜像不是反向代理，而是对packagist.org元数据的全量定时同步，包括packages.json、各版本composer.json、dist url模板及sha256哈希值等，全部静态托管cdn；请求直接对接镜像域名，无运行时回源依赖。
Composer镜像不是反向代理，而是全量元数据同步
国内镜像（如 https://mirrors.aliyun.com/composer/）不转发请求，也不缓存响应；它每天定时拉取 packagist.org 的完整元数据快照——包括 packages.json、每个包所有版本的 composer.json、dist URL 模板、SHA256 哈希值等，全部存为静态 JSON 文件并托管在 CDN 上。
这意味着：composer install 时的 Loading composer repositories 阶段，实际请求的是镜像服务器上的 https://mirrors.aliyun.com/composer/packages.json，而非实时回源。后续每个包的元信息、zip 下载地址，也都来自镜像预生成的 JSON 片段，与 packagist.org 无任何运行时依赖。
同步架构包含三个核心组件：上游抓取、本地存储、对外服务
以阿里云开源的 packagist-mirror 系统为例，其部署结构清晰分层：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
上游抓取器（Fetcher）：用 Go 编写，定期轮询
packagist.org的packages.json和 provider list，对比版本号或时间戳决定是否拉取新包；支持并发限速和失败重试 -
本地存储层：Redis 存任务队列和元数据状态，OSS（或 S3 兼容存储）存所有
distZIP 包和生成的 JSON 文件；OSS Bucket 开启 CDN 加速，降低终端用户下载延迟 -
对外服务层：Nginx 或 Caddy 反向代理静态文件路径（如
/packages.json、/p/<vendor>/<package>.json</package></vendor>），不走 PHP 后端，纯 HTTP 文件服务，吞吐高、无单点瓶颈
为什么不能用 Nginx proxy_pass 做“简易镜像”
常见误区是用 proxy_pass https://packagist.org 搭个反向代理，这会导致：
- 每次
composer install都触发真实回源，完全没解决网络超时或连接拒绝问题 - 无法处理
packages.json中动态拼接的 provider URL（如"https://packagist.org/p2/vendor/package.json"），代理规则难覆盖所有路径变体 - 缺失哈希校验能力——Composer 下载 zip 前会比对
dist.shasum，而代理无法预知或验证该值，导致install失败或安全警告 - CDN 缓存策略失控：packagist.org 返回的
Cache-Control: no-cache会让 CDN 不缓存，失去加速意义
企业自建镜像需注意的硬性约束
若你基于 packagist-mirror 或 Satis 搭建私有镜像，以下三点必须满足，否则 Composer 客户端直接拒绝识别：
-
packages.json根对象中必须含"packages"字段（非空数组），且每个包条目需有"name"和"versions"；Satis 构建后默认满足，但手动生成 JSON 易漏 - 所有 provider JSON（如
/p2/vendor/package.json）必须返回200 OK，且内容为标准格式：{"provider-includes":{"p/provider~a9b8c.json":{"sha256":"..."}}} - 镜像域名必须支持 HTTPS，且证书有效；部分旧版 Composer（
最易被忽略的是 provider 文件的路径一致性——如果镜像服务把 /p2/ 映射成 /provider/，而客户端仍按规范拼 /p2/，就会 404，且 Composer 不提示具体哪个 URL 失败。
