composer下载慢主因是配置错误致静默回退原源：repo.packagist键名错、缺composer类型参数、url末尾无/，三者任一出错即失效；全局配置受用户权限限制，ci/docker等环境需项目级配置并清缓存验证。
Composer 下载慢，90% 不是网络差，而是根本没走代理或镜像——repo.packagist 键名写错、漏 composer 类型参数、URL 末尾缺 /，三者任一出错就静默 fallback 到 https://packagist.org，你还在等它超时。
为什么 composer config -g repo.packagist 总不生效
这条命令从不报错，但实际配置常被忽略。真正生效必须同时满足三个硬性条件：
-
repo.packagist是唯一合法键名，写成repos.packagist（多一个 s）、packagist或大小写混用（如Repo.Packagist）都会被 Composer 2.x+ 直接跳过 - 中间的
composer是强制 type 值，不能省略：错误写法composer config -g repo.packagist https://mirrors.aliyun.com/composer/❌；正确写法composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/✅ - URL 必须以
/结尾：比如https://mirrors.aliyun.com/composer/✅；而https://mirrors.aliyun.com/composer❌（会拼出/composerpackages.json导致 404）
验证是否真写进去了：运行 composer config -g repo.packagist。输出必须是完整 URL 字符串或类似 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} 的 JSON。如果为空、null 或仍是 https://packagist.org，说明压根没写成功。
全局配置在 CI、宝塔、Docker 里为什么经常失效
全局配置写在 ~/.composer/config.json，但它只对当前用户生效。宝塔默认用 www 用户执行，GitHub Actions 用 runner，Docker 容器里可能是 www-data——它们根本读不到你本地 root 或个人用户的配置。
更稳的做法是进项目根目录后执行（不加 -g）：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/
这条命令会自动向当前项目的 composer.json 的 repositories 字段追加条目，不会覆盖已有私有源。改完后务必跑一次：
composer update --lock
否则 composer.lock 仍指向旧源的包地址，下载时照样卡在 packagist.org。
换源后还是卡在 Downloading，最常被跳过的一步
镜像只加速元数据拉取和 ZIP 包下载，但缓存里还存着旧源的索引，composer.lock 里也记着原始 dist URL——不清理它们，换源等于白配。
- 必须立刻执行：
composer clear-cache—— 清掉所有本地缓存，强制重新拉取镜像站数据 - 如果项目已有
vendor/和composer.lock，建议一并删掉再跑composer install，避免残留干扰 - 验证是否真走镜像：运行
composer show laravel/framework -vvv 2>&1 | grep "Downloading"，日志里必须出现mirrors.aliyun.com或对应镜像域名，不能只看命令有没有报错
企业内网或老旧系统连不上阿里云镜像怎么办
有些防火墙会拦截非标准域名，或校验 HTTPS 证书链失败。阿里云镜像证书由 GlobalSign 签发，部分老旧系统（如 CentOS 6、某些 Jenkins slave 镜像）根证书库太老，TLS 握手直接失败。
先手动测试：
curl -I https://mirrors.aliyun.com/composer/packages.json
若提示 SSL certificate problem，升级系统 CA 证书：
- Debian/Ubuntu：
sudo update-ca-certificates - CentOS/RHEL：
sudo yum update ca-certificates
CI 中可临时关闭 TLS 校验（仅限可信内网）：
composer config -g secure-http false
但绝不要用 http:// 明文源——新版 Composer 默认拒绝加载。
真正卡住的地方往往不在“下载”本身，而在缓存残留、用户权限错位、证书过期这些细节上。配对、配全、配准之后，别忘了清缓存、删 lock、验证日志——少做一步，前面全白忙。
