Composer中文镜像导致依赖解析失败，主因是跳过Packagist官方签名验证，缓存旧版composer.json（如未同步dev-main变更），致使选到不兼容版本；需用composer config确认镜像源、切回官方源验证，并注意私有包与镜像混用引发的SAT求解矛盾。
Composer中文镜像为什么会让依赖解析失败
不是镜像本身有问题，而是它默认启用 packagist.phpcomposer.com（或类似）时，会跳过 Packagist 官方的元数据签名验证。一旦某个包在镜像中缓存了旧版 composer.json（比如未及时同步 dev-main 的约束变更），composer install 就可能选到不兼容的版本，而你本地报错却查不到源头。
常见错误现象：Root composer.json requires package/version but package/version is not satisfiable，或者安装后运行时报 Class not found —— 实际是镜像返回了被删掉的分支或已废弃的 tag。
- 确认当前镜像源：运行
composer config repo.packagist，看是否为https://packagist.phpcomposer.com或https://mirrors.aliyun.com/composer/ - 临时切回官方源验证：执行
composer config --global repo.packagist https://packagist.org，再composer update --dry-run - 阿里云镜像需额外注意：它默认关闭
notify-batch，导致某些私有包的 autoload 配置无法实时生效，建议加"notify-batch": true到全局配置
如何定位到底是哪个依赖触发了冲突
composer why-not 和 composer prohibits 是唯一直观路径，但它们只对已解析出的候选版本起作用 —— 如果根本没走到解析阶段（比如平台约束不满足），就得靠更底层的日志。
使用场景：执行 composer update foo/bar 失败，但不确定是 foo/bar 自身问题，还是它依赖的 baz/qux 拉低了 PHP 版本要求。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 开启调试日志：
composer update foo/bar -vvv 2>&1 | grep -A5 -B5 "conflict"，重点看Resolving dependencies through SAT后的 rejected candidate 列表 - 强制锁定某依赖版本再试：
composer require foo/bar:dev-main --no-update，然后composer update --with-dependencies，观察冲突是否转移 - 检查 platform config 是否被镜像忽略：某些镜像会忽略
config.platform.php，导致composer show php显示的版本和实际 runtime 不一致
vendor/composer/installed.json 里为什么找不到冲突包
因为 installed.json 只记录最终写入 vendor/ 的包，而冲突发生在依赖图构建阶段，此时还没生成该文件。你看到的空文件或缺失条目，恰恰说明 Composer 根本没完成安装流程。
性能影响：每次 composer install 前都会读取 installed.json 做增量判断，但如果镜像返回了错误的 lock 文件哈希（比如因 CDN 缓存未刷新），就会误判“无需安装”，直接跳过依赖校验 —— 这是很多“明明改了 composer.json 却没生效”的真实原因。
- 安全做法：删掉
vendor/和composer.lock，用composer install --no-cache重装 - 验证 lock 文件完整性：对比
composer.lock中content-hash和本地composer.json的 hash（可用sha256sum composer.json手动算） - 别信 IDE 的 vendor 索引：PhpStorm 有时会缓存旧的 autoloader 映射，重启索引前先确认
vendor/autoload.php真实加载了哪些 PSR-4 规则
私有包 + 中文镜像 = 冲突高发区
当项目同时引用私有 Git 仓库和公共包时，Composer 默认把所有源都走镜像代理 —— 但私有仓库通常没有镜像节点，结果就是 public 包走加速通道，private 包走直连，两套 resolve 逻辑混在一起，SAT 求解器容易给出矛盾解。
最容易被忽略的一点：镜像配置里的 repositories 顺序决定了优先级。如果把私有仓库写在全局 config 里，又在项目根目录 composer.json 里写了另一个同名仓库，Composer 会按“项目 > 全局 > 默认”叠加，而不是覆盖。
- 显式禁用镜像对私有源的代理：在项目
composer.json中加"repositories": [{"type": "vcs", "url": "git@xxx", "no-api": true}] - 用
composer config --unset repos.packagist关掉全局镜像，仅对特定命令启用：COMPOSER_REPO_PACKAGIST=https://mirrors.aliyun.com/composer/ composer update - 检查私有包的
composer.json是否含minimum-stability：如果设为dev，而镜像只同步stabletag，就会出现“包存在但不可见”
composer.json 里那几行约束、PHP 实际版本、以及 lock 文件里每个包的 exact commit hash。 
