composer install卡在updating dependencies或超时，本质是网络层问题：dns解析失败、https被拦截、代理未生效或ca证书异常；应先用curl和composer diagnose定位，再换镜像、配代理或离线安装。
Composer install 时卡在 Updating dependencies 或直接超时
这通常不是 Composer 本身的问题，而是网络请求被防火墙拦截或限速。Composer 默认通过 HTTPS 访问 packagist.org（或镜像源），若公司代理、出口防火墙、DNS 污染或本地杀毒软件干扰 TLS 握手，就会表现为：Connection timed out、Could not resolve host: packagist.org、SSL certificate problem，甚至静默卡住数分钟无响应。
实操建议：
- 先用
curl -v https://packagist.org/packages.json测试基础 HTTPS 连通性——如果失败，问题不在 Composer，而在系统级网络层 - 检查是否启用了企业代理：运行
echo $HTTP_PROXY和echo $HTTPS_PROXY（Linux/macOS）或echo %HTTP_PROXY%（Windows CMD）；若有输出，确认代理地址和端口是否可达 - 临时关闭本地安全软件（如 360、火绒、McAfee 的“HTTPS 扫描”功能），它们常劫持 TLS 流量导致证书验证失败
- 避免直接改 Composer 源为 HTTP（如
http://packagist.phpcomposer.com），现代 Composer 已禁用非 HTTPS 源，会报错Invalid repository type: only secure URLs are allowed
使用 composer diagnose 检查网络配置有效性
composer diagnose 不只是检查 JSON 格式，它会尝试连接 Packagist 并验证 CA 证书链。输出中关键线索包括：
• Checking HTTP proxy 行显示是否识别到代理及是否启用
• Checking HTTP timeout 若显示 FAIL，说明底层 cURL 请求已超时（默认 300 秒）
• Checking CA bundle 若为 FAIL，常见于 Windows 上 OpenSSL 无法加载系统证书，或自定义 cafile 路径错误
实操建议：
- 加
-v参数运行composer diagnose -v，能看到具体哪个 URL 被拒绝（例如https://repo.packagist.org/packages.json） - 若提示
CA bundle not found，不要手动下载 cacert.pem 后硬编码路径；优先用系统包管理器更新 CA（如 Ubuntu 执行sudo apt update && sudo apt install ca-certificates） - 确认 PHP 的
openssl.cafile配置未被错误覆盖（检查php --ini加载的 ini 文件中是否有openssl.cafile行）
绕过防火墙限制的三种可靠替代方案
当无法修改防火墙策略时，应优先选择兼容性强、无需额外权限的方案，而非强行调低安全等级。
实操建议：
- 换国内镜像源：执行
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（阿里云）或https://packagist.phpcomposer.com（已停用，切勿再用）；注意部分镜像同步有延迟，若依赖新发布的包，需临时切回官方源 - 用 SSH 协议拉取 Git 包：若项目 require 了 GitHub/GitLab 私有库，且 HTTPS 被拦，可在
composer.json中将 URL 改为git@github.com:user/repo.git，并确保本地ssh-agent已加载对应密钥（ssh -T git@github.com可验证） - 离线安装：在能联网的机器上执行
composer install --no-dev --prefer-dist --ignore-platform-reqs，然后把vendor/和composer.lock整体复制过去；注意 PHP 版本和扩展差异可能引发运行时错误
为什么设置 HTTP_PROXY 环境变量后仍不生效
Composer 使用 PHP 的 cURL 扩展发起请求，而 cURL 对代理的支持受多个条件制约：协议匹配、认证格式、环境变量大小写、PHP 运行用户权限等。常见现象是设置了 HTTPS_PROXY，但 composer install 依然走直连。
实操建议：
- cURL 仅识别全大写环境变量：
HTTP_PROXY和HTTPS_PROXY（不是http_proxy），且值必须含协议（如http://proxy.example.com:8080），不能省略http:// - 若代理需认证，格式为
http://user:pass@proxy.example.com:8080；密码含特殊字符（如@、/）必须 URL 编码 - Windows 用户注意：CMD 中设置
set HTTPS_PROXY=http://...仅对当前窗口有效；PowerShell 中要用$env:HTTPS_PROXY="http://..."，且需确认 PHP 是由同一 shell 启动的 - 某些 Docker 环境中，PHP 容器未继承宿主机代理变量，需在
docker run时显式传入--env HTTPS_PROXY=...
最易被忽略的一点：防火墙可能只放行特定 User-Agent。Composer 默认 UA 是 Composer/2.x，有些企业网关会拦截非常规 UA。此时可临时在 composer.json 里加 "config": {"http-basic": {"repo.packagist.org": {"username": "", "password": ""}}} 并配合自定义 http-proxy，但更稳妥的做法是联系 IT 部门白名单该 UA 或使用已批准的镜像源。
