验证当前镜像源需运行composer config -g repo.packagist，输出必须为完整JSON对象如{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}才算生效；返回空、null或报错则仍在直连官方源，常见原因包括漏-g、键名误写为repos.packagist、项目级repositories字段覆盖全局配置。
怎么验证当前用的是哪个镜像源
直接运行 composer config -g repo.packagist，输出必须是完整 JSON 对象，比如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}，才算真正生效；返回空、null 或报错，说明你还在直连 https://packagist.org。
常见误判点：
- 漏掉
-g参数，查的是项目级配置，和全局无关 - 键名写成
repos.packagist（多一个s），Composer 静默忽略，不报错也不生效 - 项目根目录
composer.json里有"repositories"字段，会直接屏蔽全局配置——此时得用composer config repo.packagist（不带-g）查项目级设置
阿里云、腾讯云、中科大镜像的实际差异
三者都同步 packagist.org，但策略不同，直接影响 composer update 的稳定性和响应质量：
- 阿里云
https://mirrors.aliyun.com/composer/：同步延迟 ≤ 90 秒，CDN 覆盖全，packages.json压缩后体积小 68%，对 CI 友好；但 URL 必须以/结尾，少斜杠会静默回退官方源 - 腾讯云
https://mirrors.cloud.tencent.com/composer/：每 5 分钟全量同步，HTTPS 稳定，南方用户更稳；GitHub Actions 中比阿里云更少因 DNS 抖动失败 - 中科大
https://mirrors.ustc.edu.cn/composer/：教育网内延迟最低，公网偶尔受带宽限制；适合校园网或北方地区用户
别只看“谁更快”——CI 环境跑在 GitHub 或阿里云 ECS 上，网络出口位置不同，实测结果可能相反。
为什么 composer config -g repo.packagist 经常不生效
这条命令静默失败很常见，核心就三个硬性条件缺一不可：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
repo.packagist是固定键名，写成repos.packagist或mirror都无效 - 中间的
composer是type值，不是可选参数，也不能替换成composer.org - URL 必须是 HTTPS 且末尾带
/，比如https://mirrors.aliyun.com/composer/✅，少斜杠会拼出/composerpackages.json导致 404
验证是否写入成功，只认这一条命令：composer config -g repo.packagist。输出不是 JSON 对象，就等于没配进去。
生产环境该不该全局换源
不该。全局替换 repo.packagist 会丢掉官方签名验证能力，镜像站不提供 signature 字段，Composer 2.5+ 检测不到时自动跳过完整性校验，供应链风险陡增。
更安全的做法是：
- 启用签名验证：
composer config -g security.signature true - 强制 HTTPS：
composer config -g secure-http true - 项目级配置镜像（写进
composer.json），确保 CI 和协作者行为一致 - 删掉
vendor/和composer.lock后再composer install，否则旧 lock 文件仍指向官方源
最易被忽略的一点：哪怕你配了镜像，composer install 卡在 Resolving dependencies 阶段，大概率和镜像无关，而是 composer.json 里 PHP 版本约束太宽或用了大量 dev- 分支依赖。
