根本原因是 composer config 层级叠加导致镜像源、缓存路径、平台约束不可控；应统一配置阿里云镜像、严格使用 composer.lock + config.platform 精确控制 PHP 版本，并在离线环境打包 vendor 目录而非仅传 lock 文件。
为什么 macOS / Linux / Windows 上 composer install 行为不一致
不是系统本身慢，而是各环境的 composer config 层级叠加导致实际使用的镜像源、缓存路径、平台约束完全不可控。常见现象包括：同一项目在 macOS 秒装完成，CI 里卡在 Downloading https://api.packagist.org/；WSL 中偶尔成功、重启后失败；Windows 上 Git Bash 和 PowerShell 写入的 ~/.composer/config.json 实际位置不同。
根本原因有三：
-
composer config -g依赖$HOME可写且路径稳定，但 Windows 下%USERPROFILE%和 WSL 的/home/xxx不互通 - 项目级
composer.json中的repositories字段会静默覆盖全局配置，哪怕只有一行"packagist.org": false - CI 容器常挂载空
/root/.composer，退回到默认源，而本地开发机可能早配好了阿里云镜像
统一镜像源：用 composer config -g + 环境变量兜底
目标是让所有系统都明确走 https://mirrors.aliyun.com/composer/，且不被 shell 类型或 HOME 路径干扰。
实操建议：
- 开发者本地执行：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/—— 这会写入~/.composer/config.json，只要$HOME可写就生效 - CI/CD 中禁用依赖
-g的写法，改用显式路径：export COMPOSER_HOME="/tmp/composer" && composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 验证是否生效：运行
composer install -vvv 2>&1 | grep "mirrors.aliyun.com"，看到下载域名即确认 - 清缓存：
composer clear-cache，避免旧缓存继续走原源
跨平台依赖一致性：靠 composer.lock + config.platform 精准控制
composer.lock 是唯一能保证不同机器装出相同 vendor 的依据，但它本身不防平台差异 —— 比如你本地 PHP 8.2 装的包，放到 CI 的 PHP 8.1 上可能因扩展缺失失败。
关键配置必须满足三个硬条件：
-
config.platform必须放在composer.json根级config对象下，不能嵌套在extra或拼错成platform.php - PHP 版本必须写死到小版本，例如
"php": "8.1.10"；写"8.1"或"^8.1"都会被忽略 - 改完后必须删掉
vendor/和composer.lock，再跑composer install—— 旧 lock 文件不会自动刷新平台约束 - 验证方式：
composer show php输出应为version : 8.1.10，且composer install --dry-run日志中出现Platform configuration: php 8.1.10
离线或受限环境：别只传 composer.lock，带全 vendor/
很多人误以为只要 composer.lock 一致，离线机上 composer install 就能还原环境 —— 实际上它仍会尝试联网查元数据，报 Could not find package。
真正可行的方案只有两个：
- 部署前在联网机器上执行：
composer install --no-dev --prefer-dist --optimize-autoloader，然后把整个vendor/目录 +composer.lock+composer.json打包传过去 - 离线机上运行：
composer install --no-interaction --ignore-platform-reqs（后者跳过扩展检查，前提是已确认环境兼容） - 绝对不要删掉
vendor/后再试composer install—— 没网络时它无法重建 - 注意：
--ignore-platform-reqs只跳过安装阶段校验，缺扩展 runtime 仍会报错，不是万能开关
最易被忽略的是：不同镜像源下载的 dist 包 SHA256 可能不同，composer install 会校验失败。所以 vendor 必须来自同一镜像源、同一时间点。
