应将国内镜像置于repositories数组首位，并显式禁用官方源，即配置"packagist.org": false，确保Composer优先从国内镜像拉取包；项目级配置优于全局配置，改完需删除vendor/和composer.lock后重新安装。
怎么让 Composer 优先用国内镜像而不是 packagist.org
Composer 默认走 packagist.org，国内直连慢且常超时。改优先级不是“加个镜像”就行，而是要控制「仓库发现顺序」和「包匹配逻辑」——关键在 composer.json 的 repositories 配置方式。
常见错误是直接在根目录 composer.json 里追加一个国内镜像（比如阿里云），但没设 packagist.org 为 false，结果 Composer 还是先查官方源，镜像只当 fallback，根本没提速。
- 必须把
"packagist.org": false写进repositories顶层配置，关掉默认源 - 国内镜像要放在
repositories数组最前面，越靠前匹配优先级越高 - 镜像地址用
type: "composer"，别错写成type: "package"（后者只认固定 JSON，不支持自动发现） - 如果项目已运行过
composer install，改完记得删掉vendor/和composer.lock重装，否则缓存会绕过新配置
{
"repositories": [
{
"type": "composer",
"url": "https://mirrors.aliyun.com/composer/"
},
{
"packagist.org": false
}
]
}
全局配置 vs 项目配置：哪个该动、哪个不该碰
全局镜像（composer config -g repo.packagist）看似一劳永逸，但实际容易翻车：团队协作时别人拉代码跑不起来，CI 构建因环境差异失败，甚至本地开发和测试环境行为不一致。
真正稳定的做法是项目级锁定——只改当前项目的 composer.json。这样所有依赖来源可追溯、可审查、可版本化。
- 别碰全局配置，除非你确定所有项目都允许走同一镜像（比如公司内网统一代理）
- 用
composer config --unset repos.packagist清掉旧的全局镜像，避免和项目配置冲突 - CI 脚本里不需要额外
composer config，只要composer install就自动按项目composer.json走 - 如果真要用全局，务必确认镜像支持完整 Packagist 协议（有些精简镜像不返回
packages.json元数据，会导致composer require找不到包）
镜像失效或同步延迟时怎么快速验证和回退
国内镜像不是永远可靠，阿里云、腾讯云偶尔同步滞后几小时，表现就是 composer require foo/bar 报 Could not find package foo/bar，但去官网能搜到——说明镜像还没同步最新包。
这时候不能硬等，得有快速诊断路径：
- 用
curl -I https://mirrors.aliyun.com/composer/p2/foo/bar.json直接测镜像是否返回 200（注意 p2 是 Composer 2 协议路径） - 临时切回官方源：把
"packagist.org": false改成"packagist.org": true，再删composer.lock重装 - 不要用
composer clear-cache解决同步问题——缓存清了也没用，镜像服务器本身没数据 - 想长期规避，可在
repositories里配两个镜像（阿里云 + 华为云），但需配合插件如hirak/prestissimo或 Composer 2.2+ 的并行下载，否则 Composer 不会自动 failover
为什么 vendor/autoload.php 加载变慢？可能和镜像设置有关
改完镜像后如果发现 require 'vendor/autoload.php' 启动变慢，大概率是镜像配置触发了 Composer 的「repository fallback 检查」机制——即使你关了 packagist.org，某些插件或旧版 Composer 仍会尝试 HEAD 请求探测源可用性。
这不是 autoload 本身的问题，而是 Composer 在首次加载时做了隐式元数据检查。
- 升级到 Composer 2.5+，它默认跳过无效 repository 的探测请求
- 检查有没有第三方插件（比如
composer-merge-plugin）在初始化时遍历所有 repository - 运行
composer diagnose，看输出里是否提示 “The configured repository (xxx) is not a valid Composer repository” - 最干脆的办法：把镜像 URL 改成带 trailing slash 的格式（
"https://mirrors.aliyun.com/composer/"），少部分镜像站对路径匹配敏感，缺斜杠会导致反复重定向
镜像优先级这事，表面是改几行 JSON，背后是 Composer 的仓库发现模型、HTTP 缓存策略、以及不同版本对 repositories 数组的解析差异。最容易被忽略的是：改完不删 lock 文件，等于白改。
