Composer install卡在Downloading...是因为镜像配置未生效：键名必须为repo.packagist（单数）、type值必填composer、URL须以https://开头且末尾带/，三者缺一即静默回退官方源；验证需输出完整JSON，空或含packagist.org即失败。
composer install 卡在 Downloading... 阶段，基本就是没走国内镜像——不是网络差，是配置根本没生效。
为什么 composer config -g repo.packagist 常常静默失效
这条命令写错一个字符，Composer 就当它不存在，既不报错也不提醒，继续连 packagist.org。
最常踩的坑有三个：
- 键名写成 repos.packagist（多了一个 s）
- 漏掉中间的 composer type 值，比如写成 composer config -g repo.packagist https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9
- URL 少了末尾斜杠：https://mirrors.aliyun.com/composer ❌，必须是 https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9 ✅
验证是否真写进去了？直接跑：composer config -g repo.packagist
输出必须是类似 {"type": "composer", "url": "<a href="https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9">https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9</a>"} 的完整 JSON；如果为空、null 或仍显示 <a href="https://www.php.cn/link/ec811d0d775adc62776ba80fadd4ed19">https://www.php.cn/link/ec811d0d775adc62776ba80fadd4ed19</a>，说明配置失败。
项目级配置比全局更可靠，尤其在 CI/CD 和团队协作中
全局配置依赖用户身份，而宝塔、GitHub Actions、Docker 构建都用独立用户（如www 或 runner），它们根本读不到你本地 root 的 ~/.composer/config.json。
进项目根目录后执行：
composer config repo.packagist composer https://www.php.cn/link/1569ae888190eb8c53b218b0d529e1e9
这条命令会自动向 composer.json 的 repositories 字段安全追加，不覆盖已有私有源。
但注意：
- 如果 composer.json 里 "repositories" 是空对象 {}，命令能正确 merge；
- 如果已是数组格式 []，命令会报错，需先手动改成对象再运行；
- 别在 repositories 内部写 "packagist.org": false，这个字段应放在 composer.json 根层级，否则基础扩展（如 ext-json）校验会失败。
换源后仍卡住？清缓存 + 删锁文件才是关键
镜像只加速下载，但旧缓存里存着packagist.org 的元数据，Composer 会优先读缓存并尝试从旧地址校验——结果就是卡在 DNS 或 TLS 握手，根本没发请求到镜像站。
必须做三件事：
- 运行 composer clear-cache
- 删除 vendor/ 目录和 composer.lock 文件
- 执行 composer install --no-cache（禁用缓存强制走新源）
保留旧 composer.lock 是常见误区：它记录的是旧源的包哈希，和镜像返回的元数据不兼容，必然触发 hash does not match 报错。
怎么确认真的走了镜像？别信命令输出，要看网络请求
光看composer config -g repo.packagist 输出 URL 没用，得看到实际请求打到镜像域名才算数。
实测命令：
composer show monolog/monolog -vvv 2>&1 | grep "Downloading"
日志里必须出现 mirrors.aliyun.com、mirrors.tuna.tsinghua.edu.cn 等镜像域名；
如果看到 https://www.php.cn/link/ec811d0d775adc62776ba80fadd4ed19 或 repo.packagist.org，说明 fallback 触发了，配置没起作用。
复杂点在于：镜像只解决下载慢，不解决 Resolving dependencies 卡顿——那阶段纯本地计算，和网络无关，得收紧版本约束、避免 * 和 dev 稳定性设置。
