Composer镜像返回502时不会自动fallback，因其将502视为不可恢复错误而直接终止；必须显式配置repositories顺序（内网镜像在前、packagist.org在后）、设"packagist.org": false禁用隐式源，并在config中添加"http": {"timeout": 5}强制超时触发重试，才能实现有效降级。
Composer 镜像返回 502 错误时，不会自动降级到官方源，也不会自动重试——它只会卡住或报错，除非你提前配置好 fallback 顺序 + 显式超时。
为什么镜像 502 时 Composer 不切源也不重试
502 是 HTTP 网关错误，属于服务端异常，但 Composer 默认行为是：遇到 502 就当作“不可恢复错误”直接终止，不走 repositories 下一个源；同时，它的默认重试逻辑只覆盖 CURL error 28（超时）、CURL error 6（DNS 失败）和部分 4xx/5xx，但对 502 的重试支持不稳定，尤其在早期版本中常被跳过。
更关键的是："packagist.org": false 如果没写，Composer 会悄悄启用隐式全局源，导致你写的 repositories 数组失效；而写了又没显式把 https://packagist.org 加进 repositories 数组里，那它根本不会参与查找。
- 502 错误发生时，Composer 日志里通常显示
Failed to decode response: JSON error: Syntax error或直接中断，而不是“trying next repository” - 即使你配了两个源，Composer 也默认等第一个源超时（默认 30 秒）才查第二个——502 响应快，但它不触发 fallback，只触发失败退出
- 重试次数默认是 3 次，但 502 被判定为“服务端永久错误”，多数情况下不计入可重试范畴
如何让 502 出现时真正 fallback 到 packagist.org
必须靠 repositories 数组显式声明 + 关闭隐式源 + 控制顺序。不能依赖命令行临时设置，也不能靠 composer config -g。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
在项目根目录的 composer.json 中写入：
{
"repositories": [
{
"type": "composer",
"url": "https://your-intranet-mirror.com"
},
{
"type": "composer",
"url": "https://packagist.org"
}
],
"packagist.org": false
}
-
"packagist.org": false必须放在根节点，不是repositories里，否则无效 - 两个源都必须带
"type": "composer"，URL 末尾必须有/，否则请求路径拼接出错（如变成.../composerpackages.json） - 只有当第一个源返回 404（包不存在）时，Composer 才会查第二个；但 502 不触发 fallback——所以你得让它“看起来像 404”，办法是加短超时，让连接失败转为可重试错误
怎么让 502 变成可重试的连接失败
核心不是改 Composer 行为，而是让底层 cURL 在镜像响应慢或异常时主动超时，从而触发重试逻辑。502 本身不重试，但超时（CURL error 28）会。
- 在
composer.json的config节加"http": {"timeout": 5}，强制单次 HTTP 请求 5 秒无响应就断开 - 搭配
"retries": 3（可选），确保超时后重试 3 次，每次递增延迟 - 如果用 CI/CD，记得加
COMPOSER_HTTP_TIMEOUT=5环境变量，避免被 pipeline 默认值覆盖 - 禁用 IPv6（
COMPOSER_IPV4=1）能减少 DNS 解析卡顿，间接降低 502 类似表现的概率
验证 fallback 是否真生效的实操方法
别信 composer config -g 输出，也别只看终端有没有报错——要抓真实请求链路。
- 加
-vvv参数运行composer update --dry-run，观察日志里是否出现两次GET https://...请求，分别对应你的内网镜像和packagist.org - 临时把内网镜像 URL 改成一个能返回 502 的测试地址（比如
https://httpstat.us/502），再跑 install，看是否最终从packagist.org成功下载元数据 - 删掉
vendor/和composer.lock，清空缓存：composer clear-cache，否则旧包信息可能绕过源检查 - 检查
composer show输出的仓库列表，确认packagist.org显示为 “enabled” 且排在第二位
最容易被忽略的一点：所有配置都只在项目级 composer.json 里生效；全局设置（~/.composer/config.json）只要项目里定义了 repositories，就完全不参与解析——这点在 CI 环境里尤其致命，因为很多流水线会先设全局镜像，再挂载项目目录，结果后者直接屏蔽前者。
