composer config --list 显示的是多层合并后的扁平化最终值，不标注来源、不保留嵌套结构、不区分数据类型，易导致误判；应查单个字段（如 composer config cache-dir）或用 --global/--file 分离查看。
Composer 读取配置不是“一次加载”，而是按需叠加：项目 composer.json → 全局 config.json → 默认值，优先级逐级覆盖。直接看 composer config --list 容易误判，尤其对嵌套字段和类型模糊的值。
为什么 composer config --list 显示的值不等于实际生效值
输出是扁平化键值对，比如 repositories.packagist.org.type 看似是个路径，实则对应 JSON 中的嵌套对象；true 或 null 不带类型标识，无法区分是布尔还是字符串；含点号的仓库名（如 repos.my.company）可能被转义，导致显示与原始配置不一致。更关键的是，它混合了项目级和全局级配置，但不标明来源——你看到的 cache-dir 可能来自全局，而 vendor-dir 来自项目，肉眼无法拆解。
建议做法：
- 查单个字段用
composer config cache-dir（项目级）或composer config --global cache-dir（全局级），比扫屏更准 - 查仓库列表用
composer config repositories，直接输出数组结构，避免点号路径误导 - 调试 CI/CD 时，优先用
composer config --global --list | grep -E "(cache-dir|home)"快速定位关键路径
composer config 修改的是哪个文件？
不加 --global 时，所有写入操作都改当前项目的 composer.json 文件里的 config 字段；加了才写入全局 ~/.composer/config.json（Windows 是 %APPDATA%\Composer\config.json）。这个区别决定配置是否跨项目生效。
常见踩坑点：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer config github-oauth.github.com token（没加--global）→ 写进项目 composer.json，完全无效，GitHub 认证只认全局配置 -
composer config repo.packagist composer https://mirrors.aliyun.com/composer/→ 这个 key 已废弃，新版应改用repos.packagist.org，否则静默失败 -
composer config bin-dir ./bin只写配置，不创建./bin目录，后续composer install才会尝试建，若父目录不可写就报错
哪些配置项只在全局/项目级生效？
不是所有配置都支持双模式。有些字段设计上就限定作用域：
- 全局专属：
github-oauth、gitlab-token、http-basic（私有源凭据）——项目级设了也忽略 - 项目专属：
sort-packages、preferred-install、allow-plugins—— 全局设了不生效，必须写进项目 composer.json - 两者都可，但行为不同：
process-timeout全局设的是默认值，项目级可覆盖；cache-dir全局设影响所有项目缓存位置，项目级设无效
判断依据很简单：运行 composer config --list 和 composer config --global --list 对比输出，只出现在其中一个里的，就是作用域受限项。
想看清真实配置结构，别只信 --list
composer config --list 是快速扫描工具，不是配置审查工具。它不还原 JSON 层级，也不校验语法合法性。真正需要确认结构时，应该：
- 直接打开
composer.json或~/.composer/config.json人工核对 - 用
cat ~/.composer/config.json | jq '.'（Linux/macOS，需装jq）格式化查看全局配置 - 对敏感配置（如 token、私有源地址），优先用
--global并确保该文件权限为600，避免被其他用户读取
最常被忽略的一点：修改配置后，Composer 不会预校验是否合法。比如把 secure-http 设成 "false"（字符串）而非 false（布尔），命令能执行成功，但后续请求可能仍走 HTTPS，问题要到 composer update 报错时才暴露。
