Composer本身不支持限速或QoS控制，必须通过代理实现；有效做法是用throttle-proxy设限速代理并同时配置http_proxy和https_proxy环境变量。
Composer 本身不提供流量整形（Traffic Shaping）或 QoS 优先级控制能力——它没有带宽限制、请求队列调度、包下载优先级标记等网络层控制接口。所谓“镜像下载中的 QoS”，实际是误用术语，真实可操作点只有三个：镜像源选择顺序、并行连接数、以及 dist 包 URL 的最终解析路径。
为什么 composer install 不支持限速或带宽抢占
Composer 是一个依赖解析与安装工具，不是网络代理或下载管理器。它的 HTTP 客户端（基于 file_get_contents 或 cURL）不暴露 TCP 窗口、RTT 控制、令牌桶或 DSCP 标记等参数。所有“下载慢”“卡在某个包”问题，根源都在元数据匹配逻辑和 dist URL 构造阶段，而非传输过程本身。
常见错觉来源：
- 看到
Downloading laravel/framework卡住 30 秒，以为是 Composer 在“限速”，其实是它在等待第一个镜像返回packages.json—— 若超时，直接报错，不会切下一个源 - 误以为
parallel-downloads是 QoS 调度，其实它只是并发发起 HTTP GET 请求的数量上限，不区分包大小、不保序、不加权 - 把 GitHub API rate limit 错当成 Composer 流量控制，实际是
dist.url字段硬编码了 github.com，绕过了镜像
真正影响下载行为的三个可控参数
这些才是你该调、能调、且调了就见效的点：
-
parallel-downloads：设为15（默认5），但别超过20，否则可能触发镜像服务端限流或本地 DNS 解析失败 -
secure-http：设为false仅用于调试内网私有源；生产环境必须true，否则某些镜像（如清华）会拒绝非 HTTPS 请求 -
http-basic或github-oauth：若包 dist URL 指向 GitHub，必须配 Token，否则 403 会中断整个流程，看起来像“卡死”
验证方式：composer config -g parallel-downloads 和 composer config -g github-oauth.github.com 必须输出有效值。
dist URL 不走镜像？这才是真正的“优先级失效”
镜像只接管两类请求：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 元数据：如
/packages.json、/p2/vendor/name.json - dist 包：如
/dist/vendor/name/version-hash.zip（前提是该 URL 由镜像动态重写）
但如果你的 composer.json 里写了硬编码的 "dist": {"url": "https://github.com/xxx/yyy/archive/v1.0.0.zip"}，Composer 就会直连 GitHub，完全跳过镜像配置。这种写法常见于老旧私有包或 fork 改动后的包。
检查方法：composer show vendor/name -vvv 2>&1 | grep "Downloading"，确认输出中是否出现镜像域名；若仍是 github.com 或 gitlab.com，说明该包未被镜像代理。
想实现“自动 fallback 到备用镜像”？只能靠外部脚本
Composer 原生不支持多镜像故障转移。你不能指望它在阿里云超时时自动切到腾讯云——它只会等满 30 秒后报错退出。
CI/CD 中安全做法是 Shell 层预检：
- 用
curl -I -s -o /dev/null -w "%{http_code}" https://mirrors.aliyun.com/composer/packages.json检查镜像可用性 - 仅当返回
200时才执行composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 无论成败，结尾都加
composer clear-cache，避免旧元数据残留干扰
注意：repo.packagist 是单值字段，反复设置只会覆盖，不存在“多个镜像同时注册”的概念。
最常被忽略的一点：删掉 vendor/ 和 composer.lock 后再重装。lock 文件里存的是 dist URL 的哈希，换镜像不删 lock，Composer 仍会尝试从旧地址下载——根本不会触发新镜像逻辑。
