Composer还原镜像源后仍走官方源，需检查项目composer.json中是否残留repositories字段，因项目级配置优先级最高，会屏蔽全局设置，且必须执行composer clear-cache并验证实际请求URL。
Composer还原镜像源后仍走官方源？检查composer.json里的repositories字段
Composer不会自动“还原”镜像源——它只按配置加载源。如果你手动改过composer.json，加了"repositories"数组（比如国内镜像），但后来删了或注释掉，却没清缓存，composer install仍可能从旧镜像拉包。
实操建议：
- 运行
composer config -g repos.packagist查看全局镜像设置，若输出类似{"type": "composer", "url": "https://packagist.phpcomposer.com"}，说明全局镜像还在生效 - 用
composer config -g --unset repos.packagist彻底删除全局镜像配置 - 检查项目级
composer.json是否残留"repositories"字段，尤其是带"packagist.org"别名的自定义源 - 执行
composer clear-cache，否则本地已下载的包元数据可能继续走旧源
用composer config切换镜像时，-g和项目级参数别混用
composer config 的作用域很关键：加 -g 是全局设置（影响所有项目），不加是当前项目设置。两者会叠加，且项目级优先级更高——这常导致“明明删了全局镜像，但某个项目还是走镜像”的困惑。
常见错误现象：
- 执行
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/设了全局镜像 - 后来在项目里跑
composer config repo.packagist false，本意是关掉，结果反而新增了一个名为packagist、值为false的仓库，Composer 解析失败后 fallback 到官方源，但部分包因元数据不一致报错 - 正确做法是：项目内禁用镜像，应运行
composer config --unset repositories.packagist
验证当前实际生效的源：用composer config repo.packagist和composer diagnose
别只信配置文件内容，Composer 运行时合并了全局 + 项目 + 环境变量（如 COMPOSER_REPO_PACKAGIST）多层配置，最终行为得看运行时视图。
实操建议：
- 运行
composer config repo.packagist（不加-g），直接输出当前项目解析出的 packagist 源 URL；若返回空，说明走默认官方源 - 运行
composer diagnose，关注 “Checking composer.json: OK” 后面是否提示 “You are running Composer with SSL/TLS protection disabled.” 或 “The configured repository (packagist) is not the default one.” —— 后者明确告诉你镜像仍在生效 - 想看完整仓库列表（含隐式继承的），可用
composer config repositories，注意其中packagist.org类型条目是否被覆盖
CI/CD 或 Docker 构建中还原镜像容易漏掉环境变量
很多 CI 环境（如 GitHub Actions、GitLab CI）或 Dockerfile 里会通过 COMPOSER_REPO_PACKAGIST 环境变量强制指定镜像，这个变量优先级高于 config 设置，且不会写入任何 JSON 文件，极难排查。
排查步骤：
- 在构建脚本开头加
echo $COMPOSER_REPO_PACKAGIST或printenv | grep COMPOSER - Docker 构建时，检查
Dockerfile是否有ENV COMPOSER_REPO_PACKAGIST=https://mirrors.aliyun.com/composer/ - GitHub Actions 中搜索
COMPOSER_REPO_PACKAGIST，尤其注意steps[*].env或jobs.*.env全局环境块 - 临时禁用该变量：运行
COMPOSER_REPO_PACKAGIST= composer install（等号后为空）
最常被忽略的是：即使所有配置都清空了，vendor/ 下已安装的包不会自动重装，composer update 才会真正触发源切换；而 composer install 默认复用 composer.lock 里的包 URL——所以改完配置后，务必确认 lock 文件是否生成于新源环境下，否则还原只是“纸面功夫”。
