composer config -g repo.packagist 命令总不生效是因为三个硬性条件缺一即静默失败：键名必须为单数 repo.packagist、第二个参数必须显式写 composer（type 值）、URL 必须 HTTPS 且以 / 结尾；验证需输出完整 JSON 对象，空、null 或报错均说明配置未生效。
composer config -g repo.packagist 命令为什么总不生效
不是镜像地址挂了，而是三个硬性条件缺一即静默失败：键名必须是 repo.packagist（单数，不是 repos.packagist 或 packagist.org），第二个参数必须显式写 composer（这是 type 值，不能省略），URL 必须是 HTTPS 且以 / 结尾（例如 https://mirrors.aliyun.com/composer/✅，少斜杠会拼出 /composerpackages.json 导致 404）。
验证是否真写进去了，直接运行：composer config -g repo.packagist。输出必须是完整 JSON，形如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}；如果返回空、null 或报 Key does not exist，说明配置根本没落盘。
全局配置 vs 项目级配置，什么时候该用哪个
全局配置写进 ~/.composer/config.json（Windows 是 %APPDATA%\Composer\config.json），对所有项目生效，适合本地日常开发；但 CI/CD（如 GitHub Actions）、宝塔面板、Docker 容器里默认用的是 www 或 runner 用户，根本读不到你个人的配置文件。
项目级配置更可靠，命令是去掉 -g：composer config repo.packagist composer https://mirrors.aliyun.com/composer/，它会把镜像写进当前项目的 composer.json 的 repositories 字段。但要注意：
-
composer config repo.packagist会**完全覆盖**整个repositories数组，已有私有源（比如 Git VCS 源）会被清空 - 如果项目已有
"repositories": []，命令会报错；需先手动改成"repositories": {}再重试 - 改完必须删掉
vendor/和composer.lock，再跑composer install（不是update）
换镜像后 still downloading from packagist.org？检查这些地方
执行完命令，composer install 却还在请求 packagist.org，常见原因有：
- 项目
composer.json里已有repositories字段（哪怕只是空对象{}），就会屏蔽全局配置 - 宝塔或 CI 环境下，实际运行用户不是你执行
composer config -g的用户（比如你在终端用root配了，但宝塔用www用户跑命令） - PHP CLI 环境本身有问题：宝塔默认禁用
putenv、proc_open、pcntl_signal，Composer 启动失败，根本走不到镜像逻辑 - 缓存干扰：加
--no-cache临时测试，如composer update --no-cache -vvv，看日志里真实请求域名
换源后 hash 不匹配或 could not find package 怎么办
这不是镜像问题，是旧 composer.lock 文件里记录的包路径和哈希还指向官方源。阿里云镜像服务的内部路径映射与 packagist.org 不一致，校验必然失败。
必须做两件事：
- 删掉
vendor/目录 - 删掉
composer.lock文件 - 再执行
composer install（不是update），让 Composer 重新解析依赖、生成新 lock 文件
别跳过删 lock 这步——哪怕只改了镜像，旧 lock 文件里的 dist URL 和 hash 仍绑定 packagist.org，强行 update 只会让问题更隐蔽。
