换镜像也装不上冷门包，是因为阿里云、腾讯云等国内镜像只同步Packagist热门包，冷门或新发布包存在数小时至数天延迟甚至完全不收录；确认方式是直接访问镜像搜索接口（如https://mirrors.aliyun.com/composer/packagist/xxx/yyy），404即未同步；临时安装应单次命令切回官方源（如用-d参数或unset后require），长期项目可在composer.json中配置镜像为主源、官方源为canonical:false兜底源。
为什么换镜像也装不上冷门包？
因为国内镜像（如阿里云、腾讯云）只同步 Packagist 官方索引的热门包，冷门包或新发布的包往往延迟数小时甚至数天，有些根本不会被拉取。这不是你配置错了，而是镜像本身就没这份数据。
如何确认某个包是否在镜像中存在？
直接访问镜像的包搜索接口，比如阿里云镜像：https://mirrors.aliyun.com/composer/packagist/，再拼上包名路径，例如查 phpstan/phpstan-deprecation-rules 就访问：https://mirrors.aliyun.com/composer/packagist/phpstan/phpstan-deprecation-rules/。返回 404 就说明该镜像没同步这个包。
- 别只看
composer search结果——它查的是本地缓存或旧索引 - 别依赖
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/后就以为万事大吉 - 遇到
Could not find package xxx at any version，先手动测镜像 URL，再决定是否切回官方源
临时切回官方源安装冷门包的正确姿势
全局切源影响其他项目，不推荐；应该只对当前项目或单次命令生效。最安全的做法是用 -d 参数临时指定源：
composer require phpstan/phpstan-deprecation-rules:^1.0 -d '{"repositories": {"packagist.org": {"type": "composer", "url": "https://packagist.org/"}}}'
或者更清晰地分两步：
- 执行
composer config repositories.packagist --unset清掉当前项目里自定义的 packagist 源 - 再跑
composer require xxx/yyy，它就会自动 fallback 到官方源 - 装完后可重新加回镜像：
composer config repositories.packagist composer https://mirrors.aliyun.com/composer/
长期维护含冷门包的项目怎么办？
硬编码所有包到 composer.json 的 repositories 里不现实，但可以保留一个兜底策略：把官方源设为最低优先级备用源。
在项目根目录的 composer.json 中添加：
"repositories": [
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"},
{"type": "composer", "url": "https://packagist.org/", "canonical": false}
]
"canonical": false 是关键——它告诉 Composer：这个源只用来兜底，不参与包版本排序和元数据合并。没有镜像的包才会去官方源查，且不会污染镜像缓存。
冷门包的问题本质不是网络慢，而是镜像“选择性同步”。盯住 packagist.org 的原始数据，比反复换镜像更可靠。
