国外服务器连不上 packagist.org 主因是 Composer 默认启用 secure-http 且系统缺少可信 CA 证书，导致 TLS 校验失败；可临时执行 composer config -g secure-http false 降级为 HTTP 获取元数据，或更稳妥地更新系统 ca-certificates 并配置 openssl.cafile。
国外服务器用 Composer 不需要切国内镜像，但必须关掉 HTTPS 强校验或换可信 CA，否则大概率卡在 Loading composer repositories
为什么国外服务器连不上 packagist.org？
不是网络不通，是 Composer 默认启用 secure-http 且校验 TLS 证书链。很多海外 VPS（尤其是小内存 OpenVZ/LXC 容器）缺少完整 CA 证书包，或系统 OpenSSL 版本太老，导致 curl 拉取 https://packagist.org/packages.json 时直接失败，现象就是卡住不动、无报错、超时后重试。
- 典型错误日志里看不到明确提示，只看到反复 retry 或空行
-
composer diagnose会显示curl error 60: SSL certificate problem或类似提示 - 手动测试：
curl -I https://packagist.org/packages.json同样失败，基本可锁定是 TLS 问题
composer config -g secure-http false 能用吗？
能，但仅限内网或你完全信任的环境。它让 Composer 允许 HTTP 协议拉取元数据（非包本身），绕过证书校验。实际效果是把 https://packagist.org 降级为 http://packagist.org（官方仍支持 HTTP 元数据接口）。
- 执行：
composer config -g secure-http false - 验证是否生效：
composer config -g secure-http应输出false - 注意：该设置只影响仓库元数据请求，包下载仍走 HTTPS，不降低安全性
- 风险点：如果中间有恶意代理，HTTP 元数据可能被篡改（极小概率，但生产环境慎用）
更稳妥的替代方案：换系统级 CA 或跳过校验
比起关 secure-http，优先修复底层 TLS 环境：
- Debian/Ubuntu：
sudo apt update && sudo apt install -y ca-certificates - CentOS/RHEL：
sudo yum install -y ca-certificates或sudo dnf install -y ca-certificates - 更新后执行：
sudo update-ca-trust（RHEL8+/CentOS8+）或sudo trust extract-compat - 若仍不行，临时跳过校验（仅调试）：
export COMPOSER_NO_SSL=1，再跑composer install
注意：COMPOSER_NO_SSL=1 是环境变量方式，比修改全局配置更易控制作用域，适合 Jenkins 或 systemd 服务中单次使用。
镜像源要不要配？国外服务器配了反而慢
不用。阿里云、腾讯、USTC 镜像都是为中国大陆用户优化的，物理距离远、路由绕、CDN 节点不覆盖海外，实测多数情况下比直连 packagist.org 更慢甚至超时。
- 确认当前用的是哪个源：
composer config -g repo.packagist - 如果误配了国内镜像，删掉：
composer config -g --unset repos.packagist - 想验证是否恢复默认：
composer config -g repo.packagist应返回空或https://packagist.org
真正关键的不是“换源”，而是让 https://packagist.org 的 HTTPS 请求能稳定完成——这取决于你的 VPS 系统 TLS 栈是否健全，而不是 DNS 或 CDN。
