Composer不支持多源聚合，仅按repositories数组顺序线性查找，首个匹配包即停止，后续源全跳过；需将私有源置顶、国内镜像居中、官方源置底兜底，并显式禁用packagist.org。
composer 本身不支持“多源聚合”——它只按 repositories 数组顺序查包，找到第一个能返回元数据的源就停，不会合并多个源的包列表。所谓“极速拉取冷门类库”，本质是解决两个问题：冷门包不在镜像站同步范围（比如私有 Git 仓库、小众 Satis 源、刚发布未同步的新包），以及单个镜像响应慢或缺失时无 fallback。
repositories 顺序决定冷门包能否被发现
冷门类库往往不托管在 Packagist 官方源，而是通过以下方式声明：
-
composer.json中显式定义了"type": "vcs"或"type": "package"的自定义源 - 项目
repositories字段里写了私有 Git 地址、GitHub Gist、甚至本地path类型依赖
这些源不受镜像控制，repo.packagist 配置只影响官方源的代理行为。
所以真正影响冷门包拉取速度的，是你的 repositories 数组是否把它们排在前面：
-
composer查包时，对每个包名，会遍历repositories逐个请求packages.json或provider-list - 如果你把阿里云镜像放在第一位，但某个冷门包只存在于你公司 GitLab 的 VCS 源里，而那个源被写在第二位，
composer就会先花 30 秒等阿里云返回 404，再转向 GitLab —— 这就是“卡住”的真实原因
正确做法是：
- 把最可能命中冷门包的源（如私有 GitLab、内部 Satis）放在
repositories数组最前面 - 国内镜像（如
<a href="https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9">https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9</a>）放中间 - 官方源（
<a href="https://www.php.cn/link/5d2e892c81e5fafc51ab0973879563a0">https://www.php.cn/link/5d2e892c81e5fafc51ab0973879563a0</a>）放最后兜底 - 同时必须在根节点写
"packagist.org": false，否则 Composer 仍会绕过你写的repositories，偷偷去连packagist.org
冷门包拉取失败？先确认它是否真被索引
很多“找不到的包”，其实压根没被任何源收录：
立即学习“PHP免费学习笔记（深入）”；
- 包作者没提交到 Packagist（即没点 “Submit” 按钮），只放 GitHub 上 → 你需要手动加
vcs源 - 包是
abandoned状态 → Composer 会尝试从原始sourceURL 拉取，此时镜像无效 - 包名含特殊字符或大小写混用（如
mylib/Helpervsmylib/helper）→ Packagist 强制小写，但 Git 仓库名区分大小写，导致匹配失败
验证方式很简单：
- 运行
composer show vendor/package-name -vvv 2>&1 | grep -E "(Loading|Downloading)" - 看日志里实际请求的是哪个 URL；如果始终没出现你的私有源地址，说明它根本没被 Composer 加载（常见于 JSON 格式错误、
repositories写错层级）
多镜像 ≠ 多线程下载，别信“聚合加速”宣传
有些教程鼓吹“配置三个镜像就能自动负载均衡”，这是误导。Composer 2.x 的 --repository 参数只接受单个 URL，config 命令也无法批量设置多个 composer 类型源（它会覆盖数组而非追加）。
真正可用的“多源策略”只有两种：
- 手动编辑
composer.json，写死带顺序的repositories数组（推荐用于团队项目） - CI/CD 中用临时参数 +
--repository指定最可能命中的那个源（比如先试内网 Nexus，失败再 fallback 到阿里云）
注意：composer config repositories.0.url 这类命令会清空整个 repositories 数组，不适合已有私有源的项目；想安全追加，必须手改 JSON 或用 composer config repositories.packagist ...（Composer ≥ 2.2）
冷门类库的“极速”从来不是靠镜像数量堆出来的，而是靠精准控制源顺序、关闭默认回退、以及确认包真实存在位置。最容易被忽略的一点：删掉 vendor 和 composer.lock 后再重装，比反复调参数有用十倍——因为旧 lock 文件可能锁死了已失效的源地址。
