Composer超时需区分http.timeout（HTTP请求）和process-timeout（子进程），并同步调整PHP的default_socket_timeout及配置镜像源；脚本超时由PHP的max_execution_time控制。
超时不是配置写错了，而是 Composer 默认的两个超时阈值（http.timeout 和 process-timeout）太低，且它们管的事完全不同——只调一个，大概率还是失败。
卡在 Downloading https://...？该调 http.timeout
这是 HTTP 请求卡住：DNS 解析、TLS 握手、等首字节、下载 ZIP 包，全算在这一条里。错误里常见 cURL error 28 或反复 retry 后失败。
-
http.timeout默认仅 300 秒（5 分钟），弱网或大包（如完整laravel/frameworkdist）极易触发 - 项目级生效：运行
composer config http.timeout 600，写入当前composer.json的config段，可提交、可复现 - 全局生效：运行
composer config -g http.timeout 600，写入~/.composer/config.json - 临时覆盖（CI 调试最常用）：设环境变量
COMPOSER_HTTP_TIMEOUT=1200 composer install - ⚠️ 关键限制：
php -i | grep default_socket_timeout查出的 PHP CLIdefault_socket_timeout若低于你设的http.timeout（常见默认值是 60），连接会被 PHP 层提前掐断，务必同步调高
报 “The process timed out”？该调 process-timeout
这是子进程执行太久被杀：比如 git clone、unzip、跑 post-install-cmd 脚本。错误里一定含 [RuntimeException] The process "" exceeded the timeout，加 -vvv 可看到最后那条命令。
-
process-timeout默认 300 秒，和 HTTP 完全无关；它控制单个外部命令（非 PHP 脚本）的最大执行时间 - 项目级改：直接在
composer.json顶层加"config": {"process-timeout": 1200} - 全局改：运行
composer config -g process-timeout 1800（30 分钟） - 临时覆盖：用
COMPOSER_PROCESS_TIMEOUT=1800 composer install或命令行参数--process-timeout=1800 - 设为 0 表示禁用超时，但可能卡死无响应；调试建议先设 600，确认能走通再调高
脚本（如 post-install-cmd）超时？PHP 自己说了算
很多人搜 composer.json timeout 想在 config 下加 "timeout": 600，但这是无效的。post-install-cmd 等脚本由 PHP 进程执行，超时由 PHP 的 max_execution_time 控制，和 Composer 配置项无关。
- 最常用方式：调用前临时设置，如
php -d max_execution_time=0 composer install（0 表示不限制） - 若用
composer run-script，同样生效：php -d max_execution_time=600 composer run-script post-build - 在脚本内部用
set_time_limit()主动延长：必须在逻辑早期执行，例如在MyBuildScript::run()第一行调用，否则可能被后续代码覆盖 - 注意检查 CI/CD 环境是否允许覆盖该值（
max_execution_time是否在disable_functions中） - 加上
--no-interaction参数，避免php artisan key:generate等命令卡在 stdin 等待输入
国内用户别只调 timeout，镜像源才是关键
很多“超时”本质不是时间问题，而是根本连不上 packagist.org。单纯延长 timeout 只是“等得更久”，不能解决网络不稳定问题。
- 必须配镜像源：运行
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 禁用 packagist.org 回源：镜像站不代理 VCS（如
git@github.com），若项目含私有仓库，别把它们也加进镜像配置，否则会报Failed to clone - 换源后仍慢？检查
composer.json里的repositories字段是否硬编码了官方源，优先级高于全局配置，得手动清理 - 如果用了代理，
proxy和ssl-proxy必须成对配置，漏配会导致部分请求直连、行为异常
真正容易被忽略的是 PHP 层的 default_socket_timeout 和镜像源的回源行为——前者会让所有 HTTP 超时配置失效，后者会让看似生效的镜像配置在私有包场景下静默退回到官方源。
