Composer无美国镜像，官方源https://packagist.org本就在欧美服务器，国内直连更慢；所谓“美国镜像”多为失效伪站，有效镜像仅阿里云、清华、华为云、腾讯云、中科大五家。
没有“Composer美国镜像”这回事——官方源 https://packagist.org 本身就是美国（欧洲）服务器，国内直连它只会更慢、更不稳定。所谓“用美国镜像提速”是方向性错误。
为什么你搜到的“美国镜像”链接基本都失效或无效
常见现象：composer install 卡在 Downloading https://api.packagist.org/ 或反复重试某个 ZIP；运行 composer config -g repo.packagist 却发现输出仍是 https://packagist.org，甚至配置后 composer diagnose 提示 Signature mismatch。
根本原因：
- packagist.phpcomposer.com 已于 2025 年底停服，返回 404 或空响应是常态
- 所谓“美国加速镜像”多为个人搭建、无同步机制、证书过期或已下线的伪镜像
- Composer 2.2+ 对签名验证更严格，随意配错 URL 会直接拒绝拉取，不是超时，是校验失败
- 别信“美国CDN镜像”“洛杉矶节点”这类营销话术——Packagist 官方不提供任何镜像服务，所有第三方镜像都是国内机构维护的
- 用
curl -I https://xxx.com/composer/测试，返回 404 / 502 / SSL error 的地址一律跳过 - 优先验证镜像是否在 官方镜像列表 中（截至 2026 年 4 月，有效镜像仅剩阿里云、清华、华为云、腾讯云、中科大五家）
某些包仍走 packagist.org 的真实原因
换了镜像后，composer install 仍卡在某个特定包（如 monolog/monolog），日志里却出现 Downloading https://api.packagist.org/... ——这不是镜像没生效，而是 Composer 主动 fallback。
触发 fallback 的典型场景：
- 包被标记为
abandoned，Composer 会绕过镜像，回源抓原始元数据做兼容处理 - 项目
composer.json里显式写了"repositories"，且未设"packagist.org": false，导致私有源 + 默认源混合使用 - 依赖中含
path类型仓库（如"../my-local-package"），该部分完全不走任何镜像 - 镜像同步延迟：新发布的
v2.10.0可能在阿里云镜像上要等 5–15 分钟才可见，期间 Composer 自动降级回官方源
验证方式：加 -vvv 运行 composer show monolog/monolog -vvv，看最终请求的 GET URL 是不是 mirrors.aliyun.com。
parallel-downloads 设太高反而拖慢安装
很多人把 parallel-downloads 调到 20 甚至 30，结果 composer install 频繁报 file_put_contents(/tmp/): failed to open stream 或卡在解压阶段——这不是网络问题，是本地 I/O 竞争失控。
实操建议：
- 先查当前值：
composer config -g parallel-downloads，若为空，说明未启用并行下载（Composer 2.2+ 默认值其实是 3，远不够） - 安全上限是 10：运行
composer config -g parallel-downloads 10，8 更稳妥（尤其在低配 CI 机器或 macOS 上） - 这个参数只对
composer install有效；composer update仍需串行计算依赖图，调高无意义 - 别再装
hirak/prestissimo：它在 Composer 2.x 中已被废弃，不仅无效，还会静默禁用原生并发机制
真正卡住时，该盯住的不是镜像，而是 DNS 和 TLS
换完镜像、清完缓存、设好并发数，composer install 仍卡在 “Resolving dependencies…” 超 2 分钟？大概率是 PHP cURL 层卡在 DNS 解析或 TLS 握手。
快速排查步骤：
- 运行
php -r "print_r(gethostbynamel('mirrors.aliyun.com'));"，若返回空或超时，说明系统 DNS 不可靠，临时切 1.1.1.1 或 8.8.8.8 - 加环境变量强制刷新 DNS 缓存：
COMPOSER_NO_INTERACTION=1 composer install - 用
strace -e trace=connect,sendto,recvfrom -p $(pgrep -f "composer install") 2>&1 | head -20（Linux）看是否反复 connect 到错误 IP - 极少数企业网络会拦截 SNI，可临时测试：
COMPOSER_NO_TLS=1 composer config -g secure-http false（仅限内网可信环境，勿长期开启）
最常被忽略的一点：Composer 2.2+ 默认启用 HTTP/2，但某些老旧代理或防火墙不支持，会导致连接挂起。此时降级到 HTTP/1.1 反而更稳——目前没有开关，只能换镜像源或调整网络策略。
