根本原因是键名必须为单数repo.packagist、type值必须显式填composer、URL末尾必须带/，三者缺一即静默失效；项目级repositories字段会完全屏蔽全局配置，且Windows需重启终端、Linux/macOS需检查权限。
composer config -g repo.packagist 命令为什么总不生效
根本原因不是网络或权限，而是键名、type 值、URL 格式三者中任意一个写错，都会静默失败——不报错、不提示、也不覆盖配置。
-
repo.packagist是唯一合法键名，写成repos.packagist或packagist.org就无效（Composer 内部硬编码只认单数repo） -
composer是必需的 type 字段，不是注释；漏掉它，Composer 2.0+ 会 fallback 回官方源 - 镜像 URL 必须以
/结尾，比如https://mirrors.aliyun.com/composer/，少斜杠会导致请求路径拼成/composerpackages.json，直接 404 - Windows 用户改完必须重启终端，否则环境读不到新配置；Linux/macOS 下若提示
Permission denied，先运行chown -R $USER ~/.composer
项目级配置比全局更可靠的实际场景
团队协作、CI/CD 流水线、私有包共存时，全局镜像反而容易出问题。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 某些项目在
composer.json中写了"repositories": {"packagist.org": false}，会直接屏蔽全局设置 - 宝塔或 Docker 容器里，
composer config -g写的是 root 配置，但 web 进程以www用户运行，读不到 - Git 无法跟踪全局配置，新人 clone 后行为不一致；而项目级配置会自动写入
composer.json的repositories字段，可提交、可审查 - 执行
composer config repo.packagist composer https://mirrors.tuna.tsinghua.edu.cn/composer/（去掉-g），它会安全合并已有repositories，不会覆盖私有源
composer show --all 不等于历史发布记录
composer show vendor/package --all 只显示 Packagist 索引到的版本号和发布时间，不是真实变更日志。
- 发布时间来自 Git tag 时间，不是代码修改时间；维护者删 tag 重推、未打 annotated tag，时间就不可靠
- 输出里没有描述、没有 PR 摘要、没有修复内容，仅作“是否存在该版本”的参考
- 已删除的 tag、未同步到 Packagist 的预发布分支、UPGRADE.md 里的说明，统统看不到
- 真正确认某个 fix 是否包含，唯一办法是去源码仓库跑
git log --oneline v2.2.0..v2.3.0或访问/compare/v2.2.0...v2.3.0
composer.lock 才是唯一可信的历史凭证
它记录每次 composer install/update 后所有包的精确版本、哈希值、dist reference —— 不是快照，是操作证据。
-
vendor/composer/installed.json和composer show都只反映当前状态，不记录“谁、何时、为什么删了某包” - 没开 Git 或
composer.lock被手动覆盖过，历史就真的断了；Composer 本身不在本地留任何安装日志 - 想还原某次更新影响：用
git diff HEAD~1:composer.lock HEAD:composer.lock，重点关注content-hash是否变化，以及packages区块增删项 -
composer audit只审计已安装包的安全漏洞（CVE），不替代composer.lock的变更追踪作用
repo.packagist 的拼写，这两个细节错一个，整个配置就形同虚设；而依赖历史，从来不是靠命令回显，而是靠 composer.lock + Git 提交共同构成的证据链。 
