正确命令是composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，必须严格满足三要素：键名repo.packagist（单数）、type值显式为composer、URL以https开头且末尾带/，缺一则静默失效。
composer config -g repo.packagist 命令必须写对，否则镜像不生效
很多人执行了换源命令却没效果，根本原因是拼写错误或参数错位。composer config -g repos.packagist（多一个 s）不会报错，但完全不写入配置；composer config -g repo.packagist 才是正确字段名。而且必须带 composer 类型标识，完整命令是：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
漏掉中间的 composer 会导致 Composer 认为这是个普通仓库而非 Packagist 替代源，后续解析依赖时仍会 fallback 到官方源。
- 执行后检查是否生效：运行
composer config -g repo.packagist，输出应为完整 JSON 对象，如{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 若返回空、
null或https://packagist.org，说明未成功写入 - 项目级
composer.json中的repositories字段优先级高于全局配置，会直接覆盖它——这点常被忽略
2026 年实测仍稳定的三个 HTTPS 镜像地址
截至 2026 年 5 月下旬，以下三个镜像均支持 Composer 2.2+（含 2.9.6），元数据同步延迟 ≤15 分钟，且无 HTTP 协议降级风险：
-
https://mirrors.aliyun.com/composer/：华东地区响应最快，Laravel 11 / PHP 8.4 新包基本当天入库，CI 构建推荐首选 -
https://packagist.mirrors.sjtug.sjtu.edu.cn/：上海交大 SJTUG 镜像，学术网络运维，无商业干扰，适合对稳定性要求严苛的生产环境 -
https://packagist.mirrors.ustc.edu.cn/：中科大镜像，在北方和教育网环境下延迟最低，新包同步响应及时
已确认失效的地址包括：https://packagist.phpcomposer.com（404）、所有以 http:// 开头的源（Composer ≥2.2 默认拒绝）、https://packagist.jp（国内实测更慢）。
立即学习“PHP免费学习笔记（深入）”；
为什么有时候换国内镜像反而装不到最新包？
这不是 bug，而是同步机制导致的必然现象。Packagist 上新发布的包，需经镜像源拉取、校验、索引重建后才可访问。虽然主流镜像同步频率已达每 5 分钟一次，但仍有窗口期：
- 刚发布 1–3 分钟内的包，在阿里云/USTC 镜像上可能还查不到
composer require vendor/name:dev-main - 某些小众包或私有包未被镜像收录（镜像只同步 public 包），此时会 fallback 失败
- 若项目中同时配置了多个
repositories，Composer 可能按顺序尝试，卡在某个失效源上超时
遇到“明明官方源有、国内镜像找不到”的情况，先用 composer show vendor/name --all 确认该包是否存在；再临时切回官方源验证：composer config -g repo.packagist composer https://packagist.org，对比结果即可定位是否为同步延迟。
清缓存不等于换源成功，关键要看 vendor/ 目录和 composer.lock
很多人执行完换源命令就立刻 composer install，却发现还是慢或失败。真正起作用的是两个地方：
-
vendor/目录下已下载的包不会自动重拉，旧包可能仍来自旧源 -
composer.lock文件记录了每个包的 exact commit hash 和 dist URL，如果 lock 文件里存的是旧源的下载地址，Composer 会复用它而不走新镜像
稳妥做法是：rm -rf vendor/ composer.lock，再执行 composer install。如果只想更新源而不重装全部依赖，可用 composer update --lock 强制刷新 lock 文件中的 URL 指向。
