直接执行 composer config repo.packagist composer https://packagist.org 可安全覆盖项目级镜像为官方源，不删其他仓库配置、不破坏 JSON 结构，且必须在项目根目录运行、URL 末尾带 /；若失败需手动清理 repositories 中 packagist 相关项并校验 JSON 合法性。
composer config repo.packagist 命令直接覆盖最稳
单项目还原官方镜像，别删字段，直接用 composer config repo.packagist composer https://packagist.org 覆盖。这条命令会精准修改项目级 composer.json 中的 repositories 块，把 packagist 子源 URL 换成官方地址，不碰其他配置，也不触发 JSON 格式错误风险。
常见误区是执行 composer config --unset repositories，它会删整个 "repositories": {} 块——但万一你项目里还配了私有包源（比如内部 GitLab 包），就全丢了。覆盖方式保留结构，只动关键 URL。
- 必须在项目根目录（即
composer.json所在路径）下运行，不加-g - URL 结尾必须带
/，否则 Composer 2.x 会拼出https://packagist.org/packages.json→https://packagist.org//packages.json导致 404 - 执行后立刻生效，无需重启终端或重载环境
手动编辑 composer.json 时注意 JSON 合法性
如果命令执行失败（比如权限问题或 JSON 已损坏），就得手动改 composer.json。重点不是删掉 repositories，而是让它“退化”为官方默认行为：Composer 只要没看到显式的 packagist 替代源，就会自动启用 https://packagist.org。
正确做法是删掉整个 "packagist" 子项，但保留外层 "repositories" 对象（如果还有别的源）；如果只剩 "packagist"，那就删掉整个 "repositories" 字段。
- 删完必须验证 JSON 格式：用在线 JSON 校验器或
php -l composer.json - 千万别留空对象如
"repositories": {}，这会让 Composer 认为你主动禁用了所有源 - 若存在
"packagist.org": false这类老写法（见于旧 Laravel 模板），必须删掉整行，不能只改值
验证是否真走官方源，得看网络请求，不是看配置输出
改完配置不等于生效。Composer 会缓存元数据，且实际请求 URL 可能被环境变量或插件干扰。最可靠的验证方式是抓真实 HTTP 请求。
- 先清缓存：
composer clear-cache，否则仍可能从旧镜像快照拉包信息 - 运行
composer require monolog/monolog --no-install -vvv，滚动日志里找Downloading https://开头的行 - 正确应出现
https://repo.packagist.org/packages.json，而不是mirrors.aliyun.com或packagist.phpcomposer.com - 如果仍见镜像域名，说明项目
composer.json里还有残留字段，或环境变量COMPOSER_REPO_PACKAGIST被设定了
项目级配置优先级最高，全局设置完全无效
很多人以为改了全局镜像，项目就会跟着变——这是最大误解。只要项目 composer.json 里有 repositories 字段，Composer 就永远优先读它，全局 repo.packagist 配置会被彻底忽略。
所以“单项目还原”的本质，就是确保这个项目自己的 composer.json 不再声明任何 packagist 替代源。哪怕全局还配着阿里云，只要项目没写 repositories，它就一定走官方。
- 检查命令：
grep -A 5 '"repositories"' composer.json（Linux/macOS）或直接打开文件搜索 - CI 流程中建议加一步：
composer config repos.packagist，输出应为Key "repos.packagist" does not exist - 如果你用脚手架生成的项目（如某些私有模板），它们常硬编码镜像地址，这时只能手动清理或换模板
项目级镜像还原的复杂点不在命令本身，而在层层覆盖逻辑和缓存残留。一个 composer.json 里混着旧腾讯云地址、"packagist.org": false 和空 repositories 块的情况很常见，光靠一条命令搞不定，得配合 -vvv 日志确认真实请求路径。
