正确配置阿里云Composer镜像需确保URL末尾带斜杠，如https://mirrors.aliyun.com/composer/；ECS用户应使用内网地址http://mirrors.cloud.aliyuncs.com/composer/并验证config -g输出；项目级repositories会覆盖全局配置，旧composer.lock也需清理。
直接结论：用 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 就行，但 URL 末尾的 / 缺了就白配——部分 Composer 2.2+ 版本会静默 fallback 到官方源，你根本察觉不到慢。
执行命令时 URL 必须带末尾斜杠
阿里云镜像地址不是“能访问就行”，而是严格校验路径格式。漏掉 / 后，Composer 会尝试请求 https://mirrors.aliyun.com/composer/packages.json（少了个 / 导致路径错位），结果是 404 或空响应，然后自动退回到 https://repo.packagist.org，composer install 看似正常运行，实则没走镜像。
-
✅ 正确：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer// -
❌ 错误：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer（无斜杠） -
❌ 错误：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/packages.json（多加了后缀）
项目级配置会彻底覆盖全局镜像
只要项目根目录的 composer.json 里有 "repositories" 字段，无论内容是否为空、是否含 "packagist.org": false，Composer 都会忽略你配的全局 repo.packagist，直接按项目里的 repositories 解析源。
- 检查方式：
grep -A5 '"repositories"' composer.json，看到非空内容基本就是它在作祟 - 临时清理：
composer config --unset repositories（不加-g），再composer clear-cache - 若需保留私有源，别用
composer config repo.packagist命令，应手动编辑composer.json，把阿里云镜像作为"packagist"子项写进repositories，并确保顶层有"packagist.org": false
ECS 用户必须用内网地址才真正快
在阿里云 ECS 上跑 composer install 却还走公网 HTTPS 镜像？那等于主动放弃加速红利。VPC 用户应切到 http://mirrors.cloud.aliyuncs.com/composer/，经典网络用户用 http://mirrors.aliyuncs.com/composer/，实测延迟压到 10ms 内，且零丢包。
-
✅ 推荐（ECS VPC）：composer config -g repo.packagist composer http://mirrors.cloud.aliyuncs.com/composer// -
⚠️ 注意：这个地址只在阿里云内网生效，本地开发机或腾讯云/华为云服务器不能用 -
? 验证是否生效：执行composer config -g repo.packagist.url，输出必须是完整 URL（含http://和末尾/）
全局配置在宝塔/CI 中常不生效
composer config -g 写的是当前用户的 ~/.composer/config.json，但在宝塔面板、Jenkins 或 systemd 服务中，实际执行命令的用户往往是 www、jenkins 或 root，而非你登录 shell 的那个用户。
- 排查方法：在宝塔「PHP 管理器」里点「一键部署」前，先用该用户身份执行
composer config -g repo.packagist，看是否输出预期 JSON - CI 脚本中不要依赖全局配置，改用临时参数：
composer install -vvv -r https://mirrors.aliyun.com/composer/ - Windows 用户若提示
Permission denied，大概率是杀毒软件锁了config.json，试试管理员权限运行
最常被忽略的其实是 composer.lock 文件：它硬编码了包的 hash 和 dist URL，旧 lock 文件会绕过新镜像。删掉 vendor/ 和 composer.lock 再 install，才是验证镜像是否真起效的唯一可靠方式。
