Composer config -g repo.packagist 不生效是因四个硬性校验未满足：键名必须为 repo.packagist（单数）、type 必须显式设为 composer、URL 必须以 https:// 开头且末尾带 /、命令必须加 -g，缺一则静默回退至官方源。
为什么composer config -g repo.packagist不生效？
不是网络慢或镜像挂了，是 Composer 对配置写入有四个硬性校验：键名必须是 repo.packagist（单数）、type 字段必须显式写成 composer、URL 必须以 https:// 开头且末尾带 /、命令必须加 -g。漏一个，它就静默 fallback 到 https://packagist.org，返回码还是 0，看起来成功了，其实没变。
常见失败组合：
-
composer config -g repo.packagist https://mirrors.aliyun.com/composer/→ 缺type，Composer 直接忽略整条配置 -
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer→ 少/，请求变成/composerpackages.json，404 但不报错 -
composer config -g repo.packagist composer http://mirrors.aliyun.com/composer/→ HTTP 被 Composer 2.2+ 默认拒绝
如何确认当前真正生效的源？
别只信 composer config -g repo.packagist 的输出。Composer 查源顺序是：环境变量 > 项目级 composer.json > 全局 config.json。你看到的只是“写了什么”，不是“用了什么”。
验证三步法：
- 查环境变量：
env | grep COMPOSER_REPO_PACKAGIST（Linux/macOS）或echo %COMPOSER_REPO_PACKAGIST%（Windows），有输出就说明它在最顶层强制指定源 - 查项目实际用的源：
composer config repo.packagist（不加-g），输出才是当前命令真正读到的地址 - 看真实请求：
composer require monolog/monolog --no-install -vvv，滚动日志里找Downloading https://开头的行——正确应含https://repo.packagist.org
恢复默认安全连接的两种可靠方式
所谓“恢复默认”，本质是让 Composer 回到它出厂时的行为：用 HTTPS 连接官方源，不走任何镜像，也不 fallback 到 HTTP。这不是删配置，而是覆盖或清空干扰项。
推荐优先使用覆盖法（兼容性最好）：
-
composer config -g repo.packagist composer https://packagist.org—— 强制设回官方 HTTPS 地址，绕过所有 fallback 判断逻辑 - 若想彻底清除镜像痕迹，再补一句：
composer config -g --unset repos.packagist（注意是repos.packagist，复数） - 必须跟上：
composer clear-cache，否则旧缓存可能继续走镜像
注意：项目级 composer.json 中的 repositories 字段会屏蔽全局设置，得单独检查并清理；某些脚手架还留着 "packagist.org": false 这种开关，删掉整个 repositories 块才保险。
CI/CD 或 Docker 中为什么总还原失败？
因为 composer config -g 写的是当前用户家目录下的 ~/.composer/config.json。CI 环境（如 GitHub Actions）常以 root 或 www-data 身份运行，你本地配的配置对它完全不可见。
解决方案很直接：
- 在 CI 脚本开头显式重置：
composer config -g repo.packagist composer https://packagist.org - 强制清理缓存和锁定文件：
composer clear-cache && rm -rf vendor/ composer.lock - 避免复用旧构建缓存，尤其 vendor 目录和 lock 文件残留会导致 Composer 仍从原始元数据地址拉包
最易被忽略的一点：改完配置后不验证真实请求路径，只看 composer config 输出是否为空或为官方地址——这根本不能说明问题。一定要跑一次带 -vvv 的命令，盯着日志里 Downloading https:// 那一行，确认域名确实是 repo.packagist.org。
