离线调试composer需三端同步切断网络：二进制用已验证php脚本（非phar）、配置禁用全局/项目级镜像（composer config --global repo.packagist false）、命令启用composer_disable_network=1并加--no-plugins --no-scripts --no-autoloader，且composer.lock必须全为dist源。
离线调试环境不是“配个开关就能用”，而是必须从二进制、配置、命令三端同步切断所有网络触点，否则composer install仍会卡在Downloading https://repo.packagist.org/packages.json——这不是超时，是设计如此。
怎么让composer命令本身在容器/离线机里可用
不能依赖apt install composer或curl | php，这些都会触发网络请求。正确路径是把已验证的可执行文件直接 baked 进环境：
- 在联网机上运行：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');"，再执行php composer-setup.php --install-dir=/usr/local/bin --filename=composer - 确认生成的是普通 PHP 脚本（非 Phar）：
file /usr/local/bin/composer输出应含PHP script；若为PHP archive，某些离线环境因缺少phar扩展会直接报错 - Dockerfile 中用
COPY复制该文件，而非RUN curl | php；必须加RUN chmod +x /usr/local/bin/composer，否则执行时报Permission denied - Windows 用户若用 WSL，注意文件权限继承问题；PowerShell 中设环境变量用
$env:COMPOSER_DISABLE_NETWORK="1"，CMD 用set COMPOSER_DISABLE_NETWORK=1
为什么COMPOSER_DISABLE_NETWORK=1必须提前设，且不能靠--no-network
--no-network 参数根本不存在，Composer 官方不支持该 flag。唯一有效的硬开关是环境变量 COMPOSER_DISABLE_NETWORK=1，它作用于整个进程生命周期：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 不设它，
composer install即使有完整vendor/和composer.lock，仍会强制发起 HTTPS 请求校验元数据 - 设了它，但还看到
SSL certificate problem或Curl error 60，说明配置被绕过：检查是否残留composer config --global repo.packagist https://mirrors.aliyun.com/composer/，必须运行composer config --global repo.packagist false彻底禁用 - 项目级配置优先级高于全局，运行
composer config repo.packagist确保输出为空；若返回composer https://packagist.org，删掉composer.json中repositories字段里所有指向公网的条目
离线调试时composer install的最小安全命令组合
只跑 composer --version 或 composer diagnose 不代表真离线可用。真正要测的是依赖安装流程是否绕开了网络：
- 断网验证：在容器内执行
ip link set eth0 down，再运行COMPOSER_DISABLE_NETWORK=1 composer install --no-plugins --no-scripts --no-autoloader -
--no-plugins必须加：插件如phpstan/extension-installer会在外部触发网络调用，--no-plugins是强制隔离，不是可选项 -
--no-scripts防止post-install-cmd执行 npm install、生成缓存等隐式联网行为 -
--no-autoloader绕过 autoload 重建阶段，某些自定义 autoloader 实现会尝试远程类查找（虽少见但真实存在） - 执行完立刻补
composer dump-autoload -o，否则运行时大概率报Class not found；-o表示 classmap-authoritative，避免运行时文件扫描漏类
离线环境下新增包或调试依赖冲突的替代方案
composer require 在离线时必然失败，它默认要联网查包名、版本、可用性。没有“跳过证书”或“忽略 SSL”的取巧办法，只有两种可控路径：
- 用
path类型仓库：本地已有源码目录（如./packages/my-utils），composer.json中配{"type": "path", "url": "./packages/my-utils", "options": {"symlink": false}}，require 时写composer require my-utils/my-utils:@dev（必须带@dev） - 用
artifact类型仓库：提前在联网机制作命名规范的.tar.gz（如monolog/monolog-2.13.0.tar.gz），包内含合法composer.json，name/version 与文件名严格一致；离线机执行composer config repositories.offline '{"type":"artifact","url":"/opt/artifacts/"}' - 绝对不要在离线机上尝试
composer create-project——它第一件事就是访问packages.json，COMPOSER_DISABLE_NETWORK=1对它无效，--offline参数不存在，它是黑盒命令，无法降级
最容易被忽略的点：composer.lock 里若存在 "source": {"type": "git", ...}，离线无法校验 commit hash，install 必然失败；这种锁文件天生不支持离线，必须确保所有依赖走 dist 分发路径。
