必须配置composer config -g repo.packagist composer https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9，三要素缺一不可（键名repo.packagist、type值composer、URL末尾带/），否则金融级应用因TLS/DNS问题直连packagist.org失败；禁用"packagist.org": false，并设置COMPOSER_IPV4=1防IPv6卡顿。
composer config -g repo.packagist 必须设，否则金融级应用连不上安全组件
金融级 PHP 应用依赖的加密、审计、签名验证类库（如 paragonie/sodium_compat、web-token/jwt-framework）对元数据一致性要求极高。不配 repo.packagist，Composer 会硬编码直连 packagist.org，在金融专线网络下表现为 TLS 握手超时、证书链校验失败或 DNS 解析卡顿——不是慢，是根本连不通。阿里云镜像（<a href="https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9">https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9</a>）和华为云镜像（<a href="https://www.php.cn/link/2f159dfb71adadd9ed3956f59a97c248">https://www.php.cn/link/2f159dfb71adadd9ed3956f59a97c248</a>）均支持完整 HTTPS 证书链和 OCSP Stapling，且已通过等保三级渗透测试备案。
- 必须用
composer config -g repo.packagist composer <a href="https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9">https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9</a>（末尾斜杠不能少） - 切忌写成
repos.packagist或漏掉中间的composertype 值，否则静默 fallback 到官方源 - 阿里云 VPC 内网用户请改用
<a href="https://www.php.cn/link/1dbafa1bd602541ba5249cf8cc388acf">https://www.php.cn/link/1dbafa1bd602541ba5249cf8cc388acf</a>（无 HTTPS，但绕过公网 TLS 和防火墙策略） - 华为云华北节点用户实测
<a href="https://www.php.cn/link/2f159dfb71adadd9ed3956f59a97c248">https://www.php.cn/link/2f159dfb71adadd9ed3956f59a97c248</a>的 OCSP 响应更快，适合高频签名校验场景
parallel-downloads 设 10 是安全线，别碰 20
金融系统 CI 流水线常跑在高隔离虚拟机或信创环境（如鲲鹏+openEuler），parallel-downloads 超过 10 容易触发临时文件竞争：file_put_contents(/tmp/): failed to open stream。这不是磁盘满，是 PHP 进程并发写入同一临时目录时的 ENOENT 竞态。
立即学习“PHP免费学习笔记（深入）”；
- 全局启用：
composer config -g parallel-downloads 10 - 若构建日志出现大量
Failed to extract或Corrupted zip，立即降为6 - 此参数仅加速
.zip包下载，不影响composer update的依赖解析阶段 -
http-max-concurrent-downloads是兼容别名，无需重复设置
--classmap-authoritative 开启前必须确认 autoloader 完整性
金融应用常用静态分析工具（如 Psalm、PHPStan）扫描类存在性，而 --classmap-authoritative 会让 Composer 自动加载器彻底跳过 PSR-4 发现逻辑——新增一个 Security/KeyDerivation.php 类，不重新生成 classmap 就直接报 Class not found。
- 生产部署必须加：
composer install --no-dev --prefer-dist --optimize-autoloader --classmap-authoritative - 开发机严禁全局开启该参数；CI 构建后应执行
php -r "var_dump(class_exists('ParagonIE_Sodium_Compat'));"验证关键类可加载 - 若项目含
path类型依赖（如本地审计 SDK），需手动补进 classmap：composer dump-autoload --classmap-authoritative --no-dev --optimize
最易被忽略的是 composer.json 里的 "packagist.org": false
这条配置常被误加在 composer.json 根节点，本意是禁用官方源，结果却导致所有镜像失效：Composer 2.2+ 规则中，只要 "packagist.org": false 存在，无论 repo.packagist 是否配置，都会拒绝加载任何 packagist 类型仓库。金融项目往往从模板初始化，这类“安全加固”配置反而成了最大阻塞点。
- 检查命令：
grep -n '"packagist.org": false' composer.json - 删除后必须清缓存：
composer clear-cache - 不要用
composer config --unset，它只删config.json，不碰项目文件
专线环境里，COMPOSER_IPV4=1 比换镜像还关键
某些金融云专线（如上交所 FICC 接入网、中金私有云）默认关闭 IPv6 路由，但 Composer 会先尝试 IPv6 连接，卡满 30 秒才 fallback 到 IPv4。此时即使镜像地址正确，也会在 Loading composer repositories 阶段挂住半分钟。
- 临时生效：
COMPOSER_IPV4=1 composer install - 全局生效：
echo 'export COMPOSER_IPV4=1' >> ~/.bashrc && source ~/.bashrc - 宝塔面板用户需在【PHP 设置】→【环境变量】里显式添加该变量，否则 www 用户进程读不到
