packagist.org在国内物理链路刚性不可达，必须配置国内镜像源；composer config -g repo.packagist需严格满足键名准确、type为composer、url以https结尾斜杠三条件，否则静默回退官方源；项目级配置更可靠，且企业环境须显式禁用packagist.org fallback。
packagist.org 在国内不是“慢”，是物理链路层面刚性不可达：DNS 解析常返回错误 IP，TLS 握手平均耗时超 8 秒，首字节延迟（TTFB）频繁突破 300ms，Connection refused 和 SSL certificate problem 是常态。不配镜像，composer install 卡在 Loading composer repositories 或直接报 could not find package、Operation timed out，根本走不完第一阶段。
为什么 composer config -g repo.packagist 总像没生效
它不报错，但实际仍连 packagist.org——因为三个硬性条件漏掉任一就静默 fallback：
-
repo.packagist键名必须一字不差：写成repos.packagist、repository.packagist或mirror全部无效 - 中间的
composer是type值，小写，不可省略；漏掉它，Composer 就当这行配置不存在 -
url必须是 HTTPS 且末尾带/：https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠会拼出/composerpackages.json导致 404）
验证是否真写进去了？运行 composer config -g repo.packagist，输出必须是完整 JSON 对象，形如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。空、null、或仍是 https://packagist.org，说明根本没写成功。
为什么项目级配置比全局更可靠
只要项目根目录下 composer.json 里定义了 repositories 字段（哪怕只写了 []），全局配置就会被完全跳过——不是优先级低，是压根不读。
- 全局配置只写入
~/.composer/config.json或~/.config/composer/config.json，CI 流水线、宝塔面板（www用户）、Docker 容器里往往读不到它 - 项目级配置写进
composer.json的repositories字段，Git 提交后，谁拉代码、在哪跑，都走同一套源 - 执行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加-g）会自动追加到repositories数组首位，不破坏已有私有源
改完必须删掉 vendor/ 和 composer.lock，再跑 composer install——update 不行，它会沿用旧 lock 文件里的 dist.url。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
换源后还是卡在 Resolving dependencies？和镜像无关
镜像只加速元数据加载和 ZIP 包下载，不参与依赖解析。卡在这里基本是 composer.json 写法或环境问题：
- PHP 版本约束太宽，比如
"php": "^7.4 || ^8.0"，导致 Solver 遍历组合爆炸 -
require中用了通配符版本（如"monolog/monolog": "*"）或未锁定 minor 版本 - 本地
php -v与config.platform.php不一致，触发大量兼容性回溯
此时加镜像毫无作用；应先跑 composer why-not php:8.2 或 composer depends --tree monolog/monolog 定位冲突点。
企业环境必须禁用 packagist.org fallback
Composer 2.2+ 默认启用 packagist.org fallback 机制：即使你配了镜像，它仍会悄悄尝试访问官方源做校验。这对私有包极危险——若镜像不代理你的 GitLab 源，Composer fallback 后可能把 auth.json 中的 token 泄露到公网日志。
- 在项目
composer.json中显式关闭："packagist.org": false - 同时声明可信镜像：
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 再单独列出私有源：
{"type": "git", "url": "https://gitlab.example.com/group/private.git"}
这样所有流量路径可控，不会因同步延迟或 fallback 行为引入供应链风险。最易被忽略的是：allow-fallback 默认为 true，且不写进 composer.json 就不生效——必须显式设为 false 并提交。
