Composer默认不读取HTTP_PROXY/HTTPS_PROXY环境变量，必须通过composer config -g同时配置http-proxy和https-proxy两个字段才生效；缺一则HTTPS请求（如访问packagist.org）会直连失败，且镜像源配置正确时代理变量完全闲置。
为什么设置 HTTP_PROXY 有时不生效
Composer 默认会读取系统级的 HTTP_PROXY 和 HTTPS_PROXY 环境变量，但前提是 PHP 进程能真正继承它们。Windows PowerShell 或某些 CI 环境（如 GitHub Actions 的 run 步骤）中，环境变量可能未被子进程继承，或被 Composer 内部逻辑忽略。
更关键的是：Composer 从 2.0 开始默认禁用非 HTTPS 镜像源，若你设了 HTTP_PROXY=http://127.0.0.1:8080 却没配 HTTPS_PROXY，它会在尝试连接 https://packagist.org 时绕过代理直接失败——根本不会走你配的 HTTP_PROXY。
- 必须同时设置
HTTP_PROXY和HTTPS_PROXY，且值一致（除非代理明确支持 HTTPS CONNECT） - 值必须以
http://开头，不能是127.0.0.1:8080（缺少协议） - 若代理需认证，格式应为
http://user:pass@127.0.0.1:8080，特殊字符需 URL 编码 - Linux/macOS 下建议在 shell 启动文件（如
~/.bashrc）中导出；Windows 建议用setx或系统属性面板永久设置
如何验证代理是否被 Composer 实际使用
靠 echo $HTTP_PROXY 或 composer config -g http-proxy 都不够——前者只看 shell 变量，后者查的是 Composer 自己的配置项（与系统变量无关）。真正有效的方法是加 -vvv 并观察 DNS 解析和连接目标：
- 运行
composer install -vvv 2>&1 | grep -i "connecting to\|resolving" - 若输出中出现
Connecting to 127.0.0.1:8080或代理 IP，则代理已启用 - 若显示
Resolving packagist.org后直接卡住或报Connection refused，说明流量没走代理 - 注意：
curl -v https://mirrors.aliyun.com/composer/成功 ≠ Composer 成功，因 Composer 使用自己的 cURL 封装，不共享~/.curlrc
代理 + 镜像源混用时的优先级陷阱
很多人以为“设了代理再配国内镜像就双保险”，实际是错觉。Composer 的请求路径是：本地配置 → 镜像源 URL → （若镜像不可达）→ 回退官方源 → （此时才可能走代理）。也就是说：
- 如果
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/配置正确（末尾带/），Composer 根本不会触发代理逻辑——它直连镜像站 - 只有当镜像 URL 返回 403/502/超时，或配置写错（如漏掉
/导致拼成.../composer/packages.json404），才会 fallback 到官方源，这时代理才起作用 - 因此，
--repository临时换源时，代理仍有效；但全局镜像配置正确时，代理变量完全闲置
企业内网下必须检查的两个隐藏开关
即使代理和镜像都配对了，仍可能遇到 Connection reset by peer。这不是网络问题，而是 Composer 底层 cURL 被中间设备（如防火墙、SSL 解密网关）主动断连。这时要动真格：
- 强制禁用 keep-alive：
CURL_OPTIONS="--no-keepalive" composer install -vvv（Linux/macOS）或$env:CURL_OPTIONS="--no-keepalive"; composer install（PowerShell） - 确认
curl.cainfo指向真实有效的证书 bundle：运行php --ini找到加载的php.ini，检查其中curl.cainfo路径是否存在且可读；企业自建 CA 必须把根证书追加进该文件 - 不要依赖
composer config -g github-oauth来绕过代理——它只影响 GitHub API，不影响包下载
代理配置不是“设完就跑”，真正生效取决于 Composer 请求链路中的每一段是否被穿透。最容易被忽略的是：镜像源配置正确时，代理变量形同虚设；而一旦镜像失效，又没人去验证代理本身是否还活着。
