必须正确配置repo.packagist、type为composer、URL用HTTPS且末尾带斜杠，三者缺一不可；项目级配置比全局更可靠；换源后需删vendor和composer.lock重装；镜像不解决依赖解析卡顿。
直接改 repo.packagist 就行，但写错一个字符就完全失效——不是网络慢，是根本没走镜像。
全局配置必须写对这三处，否则等于没配
绝大多数“配了还是慢”的问题，都卡在这三个硬性要求上：
-
repo.packagist不能多写一个s（repos.packagist是无效键名，不报错但也不生效） - 命令里必须带
composer这个 type 值，缺了它 Composer 2.x 会 fallback 到默认源 - URL 必须用 HTTPS 且末尾带斜杠：
https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠导致路径拼接错误，404）
验证是否生效：运行 composer config -g repo.packagist，输出应为类似 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} 的完整 JSON 对象。空、null 或报错，说明没写进去。
项目级配置比全局更可靠，尤其在团队和 CI 中
全局配置容易被覆盖，而项目级配置写进 composer.json，拉代码即生效，行为一致：
立即学习“PHP免费学习笔记（深入）”；
- 进入项目根目录，运行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（去掉-g） - 该命令会自动向
composer.json的repositories字段追加"packagist"条目，不会清空已有私有源 - 如果项目已有
"repositories": {}，手动编辑容易格式出错；用命令追加才是安全做法 - CI/CD 构建时，Docker 容器里
-g配置不持久，但写进composer.json的配置每次都会被读取
换源后 composer install 报 hash 不匹配？删 vendor 和 lock 重来
镜像只加速下载，不改变包内容；但元数据同步可能有延迟或缓存残留：
- 首次换源后运行
composer install出现hash does not match或package is not installed，直接删掉vendor/和composer.lock - 再执行
composer install，让 Composer 重新从镜像拉取元数据并生成新 lock 文件 - 别试图保留旧
composer.lock—— 它记录的是旧源的包哈希，和新镜像返回的元数据不兼容
临时验证镜像是否真在用，别信“命令跑完了”
光看命令没报错没用，得亲眼看到请求发到了镜像域名：
- 运行
composer show laravel/framework 11.* -vvv 2>&1 | grep "Downloading"，确认日志里出现mirrors.aliyun.com或mirrors.cloud.tencent.com - 或者新建空目录，执行
composer init -n && composer require monolog/monolog --no-install，观察Downloading行的 URL - 临时强制走某个镜像：用
composer install --repository-url=https://mirrors.aliyun.com/composer/，这个参数优先级最高，能绕过所有其他配置
真正容易被忽略的是：镜像只加速元数据加载和包下载，不解决 Resolving dependencies 卡顿。如果 composer update 卡在解析阶段，问题大概率出在 composer.json 的版本约束太宽或 PHP 版本声明不合理，跟镜像源无关。
