项目级配置比全局更可靠，因ci/cd、docker、宝塔等环境以www或runner用户运行，无法读取当前用户~/.composer/config.json；项目级配置写入composer.json并提交git，所有环境行为一致，且优先级高于全局、可精准控制源顺序与安全策略。
项目级配置为什么比全局更可靠
因为全局配置写在 ~/.composer/config.json，而 CI/CD（如 GitHub Actions）、Docker 构建、宝塔面板默认以 www 或 runner 用户执行命令，根本读不到你当前登录用户的配置。项目级配置直接写进 composer.json，所有环境都一致读取，且能被 Git 跟踪。
常见误判点：composer config -g repo.packagist 查出来是镜像地址，不代表当前项目在用它——只要 composer.json 里有 repositories 字段，就会完全屏蔽全局设置。
- CI 流水线无需额外 setup 步骤，
git clone后直接composer install - 新人拉代码后行为一致，不用再教“配镜像”
- 避免多用户环境下配置错位（比如你在终端配了，但宝塔部署时用的是
www用户）
项目级配置的正确写法与陷阱
运行 composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不带 -g）会自动向 composer.json 的 repositories 字段插入一条记录。但它不是“追加”，而是按结构类型处理：
- 如果
repositories是空对象{}，命令会转为数组并插入阿里云镜像 - 如果
repositories已是数组[]，命令可能报错或覆盖整个数组——此时私有 Git 源会被清空 - 如果项目已有私有源（如
{"type": "git", "url": "https://gitlab.example.com/group/private.git"}），应手动编辑composer.json，把镜像放在repositories数组首位，并显式加上"packagist.org": false
错误示例："repositories": [{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}] —— 缺少 "packagist.org": false，Composer 仍会 fallback 到官方源查私有包元数据，导致凭证泄露风险。
换源后必须同步清理的三件事
镜像只改下载路径，不改锁文件哈希。旧 composer.lock 里记录的仍是 https://packagist.org 的包地址和 hash，直接 install 会校验失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 删掉
vendor/目录 - 删掉
composer.lock - 运行
composer install（不是update），让 Composer 重新生成 lock 文件并拉取镜像源的包
漏掉任意一步，都会出现 file could not be downloaded: SSL certificate problem 或 Hash mismatch 错误。尤其注意：有些团队误以为 composer update --lock 能修复，其实它仍基于旧 lock 解析依赖，无效。
多个镜像源怎么配才真正起作用
Composer 不并行查源，而是按 repositories 数组顺序逐个尝试，第一个返回有效 provider 信息的就用它，后面的全跳过。所以顺序就是优先级。
推荐结构（放 composer.json 顶层）：
"repositories": [
{"packagist.org": false},
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"},
{"type": "git", "url": "https://gitlab.example.com/group/private.git"}
]
关键点：
-
{"packagist.org": false}必须放在首位，彻底关闭默认源，避免 fallback 泄露凭证 - 国内镜像紧随其后，确保公共包走高速通道
- 私有源放最后，仅当镜像无法提供时才触发（且已明确限定范围，不走 packagist.org）
- 别把官方源
{"type": "composer", "url": "https://packagist.org/"}放前面，否则镜像形同虚设
最易忽略的一点：镜像同步有 5–30 分钟延迟。企业发布紧急安全补丁后，若 composer.json 中依赖写的是 "monolog/monolog": "^2.0"，而镜像还没同步新版本，Composer 会降级请求全量 packages.json（20MB+），导致内存暴涨、解析卡死。生产环境务必锁定具体小版本号。
