直接执行composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/可解决90%下载慢问题，但键名必须为单数repo、type值composer不可省略、URL末尾必须带/，三者缺一即静默失效；验证需composer config -g repo.packagist输出完整JSON，空或含packagist.org即失败。
直接执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 就能解决 90% 的下载慢问题，但写错一个字符——比如少斜杠、多 s、漏 composer 类型值——就会静默失效，你根本不知道它没起作用。
为什么 composer config -g 常常不生效
不是镜像源不行，是配置根本没写进真正运行 Composer 的用户配置文件里：
- 你在终端用
root执行了composer config -g，但宝塔后台或 CI 脚本是以www或runner用户身份运行的，它们读的是各自家目录下的~/.composer/config.json，完全看不到你的配置 -
composer config -g repos.packagist（多一个s）会静默写入无效字段，composer config -g repo.packagist查出来是空，但命令不报错 - 漏掉
-g参数，配置只写进当前目录的composer.json，换个项目就失效
repo.packagist 这个键名和参数顺序不能错
Composer 2.x 必须用 repo.packagist（不是 packagist、repos.packagist 或 packagist.org），且中间的 composer 是 type 值，不是可选参数：
- ✅ 正确：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - ❌ 错误：
composer config -g packagist https://mirrors.aliyun.com/composer/（缺 type，旧版 fallback 到官方源） - ❌ 错误：
composer config -g repo.packagist https://mirrors.aliyun.com/composer/（少composer，同样 fallback） - ❌ 错误：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer（URL 少末尾/，拼接出错导致 404）
验证是否生效：运行 composer config -g repo.packagist，输出必须是完整 URL 字符串或 JSON 对象，空、null 或仍显示 https://packagist.org 都说明失败。
立即学习“PHP免费学习笔记（深入）”；
团队协作或 CI 场景必须用项目级配置
全局配置靠不住，代码提交后新人拉下来行为不一致。进项目根目录（含 composer.json），执行：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/
这条命令会自动在 composer.json 的 repositories 字段安全追加，不覆盖已有私有源。注意：
- 如果项目已有
"repositories": {}（空对象），命令能 merge 进去；如果是"repositories": []（空数组），命令会报错，得先手动改成对象 - 千万别手写
"packagist": false——这会彻底关掉基础包源，镜像一挂，composer install直接失败 - 改完必须删掉
vendor/和composer.lock，再跑composer install（不是update），否则旧 lock 文件里的 hash 可能和镜像元数据不匹配
换源后还卡在 Resolving dependencies？和镜像无关
镜像只加速下载阶段，不解决依赖解析卡顿。常见真实瓶颈：
- PHP 内存不足：
COMPOSER_MEMORY_LIMIT=-1临时加内存再试 - Xdebug 启用中：会让解析慢 5–10 倍，用
php -d xdebug.mode=off $(which composer) install临时禁用 -
platform配置与实际 PHP 版本不匹配：比如"php": "7.4"却在 PHP 8.2 上运行，触发降级查找逻辑
真正容易被忽略的是：换源之后首次安装若报 hash 校验失败，很多人硬着头皮跳过或强制重装，其实删 vendor 和 lock 后重来是最干净的做法——这不是网络问题，是元数据一致性问题。
