真正生效的配置需以 composer global config --list --verbose 显示的 loaded config file 为准，而非 composer config --global 输出；改镜像后必须 composer clear-cache 才生效，且 cache-dir 在 composer.json 中写死无效。
配置写了不等于生效，验证必须绕过“看起来对”的假象，直接看 Composer 运行时实际读取和使用的值。
composer config --global 输出 ≠ 真实生效配置
运行 composer config --global repo.packagist 只显示你上次写入的值，它不校验格式、不检查是否被环境变量覆盖、也不反映当前 CLI 实际加载的配置路径。常见失效场景包括：
- 用
sudo composer config --global写入了 root 用户的config.json，但日常用普通用户执行命令，读的是另一个文件 - 设置了
COMPOSER_HOME环境变量，但路径拼错（如含~或$HOME），导致 Composer 退回到默认路径或静默失败 - Windows 下
%COMPOSER_HOME%大小写不一致（如写成composer_home），Git Bash 里完全不识别
真正可信的验证方式是：composer global config --list --verbose，第一行 Loaded config file: 显示的路径，才是此刻 Composer 正在读的那个文件。
换镜像后 install 仍卡住？缓存没清干净
改完 repo.packagist 后立刻运行 composer install，大概率还是卡在 Loading composer repositories...——因为旧缓存里的 packages.json 快照还在，Composer 根本没去新镜像拉数据。
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 必须执行
composer clear-cache，不是“建议”，是硬性前置步骤 - 验证是否清成功：
ls -la $(composer diag | grep "Cache directory" | cut -d' ' -f3)应为空或只含元数据目录 - 如果公司有私有源，配
repos.packages时漏掉"packagist.org": false，Composer 仍会并行请求官方源，拖慢整体速度
composer validate 通过 ≠ 配置能用
composer validate 只校验 composer.json 的 JSON 语法和字段名拼写，它不检查任何外部依赖是否可达、PHP 版本是否匹配、autoload 路径是否存在。典型反例：
-
"require": {"nonexistent/package": "dev-main"}→validate通过，install直接报Could not find package -
"php": ">=8.4"写得再规范，PHP 8.3 环境下install仍会失败，且错误信息藏在依赖解析日志深处 -
"autoload": {"psr-4": {"App\": "src/"}}，但src/目录根本不存在 →validate不报，dump-autoload也不报，运行时才Class not found
CI 中务必加 --strict：composer validate --strict --no-check-publish，否则拼错 autoload 为 autoloader 这种低级错误会被完全放过。
cache-dir 在 composer.json 里写死完全无效
项目级 composer.json 中写 "config": {"cache-dir": "/tmp/my-cache"} 是个常见误解。这个字段只被 composer config 命令读取，install、update 等核心命令完全忽略它。
- 真正起作用的缓存路径顺序是：
COMPOSER_CACHE_DIR环境变量 > 全局config.json里的cache-dir> 默认路径（~/.composer/cache） - 项目里硬写
cache-dir反而容易引发协作问题：不同人本地路径不一致，且无法跨项目复用缓存 - 验证是否真生效，别信
composer config --global cache-dir的输出，要看composer diag输出的Cache directory:行，并用ls确认该目录下有新生成的文件
最易被忽略的一点：全局配置项里，只有 github-oauth、http-basic、process-timeout 这类基础行为控制项是稳定生效的；像 minimum-stability 或 platform 这类，离开项目 composer.json 就几乎不参与解析逻辑。
