Composer换镜像源失败主因是composer config -g repo.packagist命令写错，需同时满足：带-g、键名repo.packagist（单数）、composer为type值、URL为HTTPS且末尾带/，否则静默失效；验证用composer config -g repo.packagist应输出完整JSON。
composer config -g repo.packagist 命令写错就静默失效
换镜像源根本不是网络问题，90% 的“依赖树报错”或“could not find package”实际源于 composer config -g repo.packagist 这条命令没写对——它不报错，但也不生效，导致 Composer 仍在直连 https://packagist.org，TLS 握手慢、首字节延迟高，最终触发超时或元数据解析失败。
必须同时满足三个硬性条件：
-
-g不能省：缺了就只改当前项目，换目录或新项目完全无效 - 键名必须是
repo.packagist（单数repo，不是repos.packagist或packagist.org） - 中间的
composer是 type 值，不是注释或可选项；URL 必须是 HTTPS 且末尾带/（少斜杠会拼出/composerpackages.json导致 404）
正确示例：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/。验证是否生效，直接运行 composer config -g repo.packagist，输出应为类似 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} 的 JSON 对象。返回空、null 或报 Key 不存在，说明没写进去。
项目级配置比全局更可靠，尤其在 CI 和协作场景
全局配置在本地开发看着方便，但进不了 Git，CI 流水线（如 GitHub Actions、GitLab Runner）用的是独立用户（runner 或 www），读不到你本地 ~/.composer/config.json；某些项目还显式写了 "packagist.org": false，会直接屏蔽全局镜像。
推荐做法：进项目根目录（含 composer.json），执行：composer config repo.packagist composer https://mirrors.aliyun.com/composer/（去掉 -g）。它会自动在 composer.json 顶层写入 "repositories" 字段，key 固定为 "packagist"，不会覆盖已有私有源——前提是原 repositories 是对象结构（不是数组）。
如果项目已有 "repositories": [] 数组形式，别手动覆盖，否则可能删掉私有包源；此时应改用命令追加，或手动编辑确保数组中第一个对象是：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
{
"type": "composer",
"url": "https://mirrors.aliyun.com/composer/"
}
改完后务必删掉 vendor/ 和 composer.lock，再跑 composer install（不是 update），否则旧 lock 文件仍指向海外源地址。
换源后 still stuck at “Resolving dependencies”？和镜像无关
镜像只加速元数据拉取和 ZIP 包下载，不干预依赖解析逻辑。“Resolving dependencies through SAT” 卡住几十秒甚至几分钟，基本是 composer.json 写法或本地环境问题：
-
"php": "^7.4 || ^8.0"这类宽泛约束会让 Composer 尝试数百种 PHP + 包版本组合 -
require-dev里塞了太多未锁定版本的工具链（如"phpunit/phpunit": "dev-main"） - 用了已废弃插件（如
fxp/composer-asset-plugin），它绕过镜像配置，额外请求 Bower/NPM 源
这类问题换任何镜像都无效。临时缓解可加 --with-all-dependencies 跳过子依赖校验，但上线前必须收紧约束，例如把 "php": ">=7.4" 改成 "php": "^8.1"，并锁死 dev 包版本。
验证 packages.json 是否真从国内拉取
很多人以为执行了换源命令就万事大吉，结果日志里还在请求 https://packagist.org/packages.json。关键要确认两点：
- 执行
composer clear-cache：旧缓存可能仍指向官方源 - 跑
composer install -vvv，观察最后几行是否出现Reading packages.json from cache且路径含aliyun或tuna - 检查是否误用了失效旧地址（如
phpcomposer.com已停更，laravel-china.org不再同步）
如果仍失败，先 curl 测试镜像可用性：curl -I https://mirrors.aliyun.com/composer/packages.json，返回 200 OK 才说明服务正常。否则换腾讯云或清华源试试。
