适合教育网及科研机构的Composer镜像源配置-composer-PHP中文网

教育网用户首选清华源，因其在cernet骨干网内延迟低于5ms、带宽利用率高，且默认启用secure-http和签名验证；中科大源次选，支持ipv6原生访问。

适合教育网及科研机构的composer镜像源配置

教育网用户该用哪个镜像源

清华源（https://mirrors.tuna.tsinghua.edu.cn/composer/）和中科大源（https://mirrors.ustc.edu.cn/composer/）对教育网出口做了深度优化，实测在CERNET骨干网内延迟低于5ms、带宽利用率高；阿里云/腾讯云镜像虽快，但走公网链路，在高校机房或科研网络中反而可能绕行、触发防火墙限速。

注意两点：

清华源默认启用 secure-http 和签名验证，无需额外配置安全项
中科大源支持 IPv6 原生访问，若你的环境已部署 IPv6（如中国科技云CSTCloud），优先用它避免 NAT 转换开销

配置命令必须带 `-g` 且键名不能错

教育网环境常有多用户共用服务器（如超算平台、实验室集群），全局配置必须写进 root 或统一用户的 ~/.composer/config.json，否则普通账号执行 composer install 仍走官方源。

正确命令只有一行，缺一不可：

composer config -g repo.packagist composer https://mirrors.tuna.tsinghua.edu.cn/composer/

常见错误包括：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

repos.packagist（多一个 s）→ Composer 2.x+ 完全忽略，静默 fallback
漏掉中间的 composer（type 值）→ 新版直接跳过该配置项
URL 少末尾 / → 请求路径拼成 /composerpackages.json，返回 404 后降级

验证是否真走教育网镜像

别信“命令跑完就生效”，教育网出口有 DNS 缓存、HTTP 代理、CDN 调度三层干扰，必须交叉验证：

运行 composer config -g repo.packagist，输出必须是完整 JSON：{"type": "composer", "url": "https://mirrors.tuna.tsinghua.edu.cn/composer/"}
加 -vvv 执行 composer install -vvv 2>&1 | grep "Reading packages.json"，日志里出现的路径必须含 tuna.tsinghua.edu.cn 或 ustc.edu.cn
用 curl -I https://mirrors.tuna.tsinghua.edu.cn/composer/packages.json 测试直连响应时间，教育网内应 ≤20ms

科研项目需保留 packagist.org 签名验证

很多科研软件包（如 phpunit/phpunit、symfony/console）依赖官方 signature 字段做完整性校验。教育网镜像站虽加速元数据，但不生成或转发 signature —— 直接替换 repo.packagist 会导致校验跳过，存在供应链风险。

安全做法是：保留官方源 + 仅代理元数据请求：

composer config -g secure-http true<br>composer config -g security.signature true<br>composer config -g repos.packagist.type composer<br>composer config -g repos.packagist.url https://mirrors.tuna.tsinghua.edu.cn/composer/

这样 Composer 会从清华源拉 packages.json，但校验和下载包文件时仍走 packagist.org 的 HTTPS 签名机制。执行 composer diagnose 应显示 secure-http: OK 和 signature verification: OK。

最易被忽略的是：一旦项目 composer.json 里写了 "repositories": [...] 或 "packagist.org": false，上面所有全局设置都会被覆盖——教育网用户常在共享代码库中遇到这个问题，得先检查并清理项目级配置。