Composer config -g repo.packagist 总不生效是因为键名必须为单数repo.packagist、type值必须显式指定为composer、URL须以https://开头且末尾带/，三者缺一即静默回退官方源；验证需输出完整JSON对象。
composer config -g repo.packagist 为什么总不生效
根本不是网络慢，是配置压根没写进去——Composer 2.x 对 repo.packagist 的键名、type 值、URL 格式三者要求极严，漏一即静默回退到 https://packagist.org，不报错也不提示。
-
repo.packagist必须是单数，写成repos.packagist或packagist都无效 - 中间那个
composer是强制type值，不能省略、不能替换（比如写成composer-type或直接跳过） - URL 必须是 HTTPS 且末尾带
/：https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠会拼出/composerpackages.json导致 404）
验证是否成功：运行 composer config -g repo.packagist，输出必须是完整 JSON：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}，或新版纯 URL 字符串。空、null、或仍显示 https://packagist.org，说明没写对。
CakePHP 4 项目该用全局镜像还是项目级镜像
微服务或拆分型 CakePHP 4 项目（如多个插件共存、私有 SDK 依赖）必须用项目级配置，全局镜像在 CI/CD 和多用户环境里基本不可靠。
- 进项目根目录后执行：
composer config repo.packagist composer https://mirrors.tuna.tsinghua.edu.cn/composer/（不加-g） - 这条命令会自动向
composer.json的repositories字段追加 packagist 条目，不覆盖已有私有 Git 源或 Satis 源 - 如果
composer.json中"repositories": []，它往数组末尾插入；如果是空对象{}，会转为标准格式并写入 - 切记别手动编辑 JSON —— 一个逗号错位就让
composer install直接报JSON decode error
升级 CakePHP 4 插件依赖时还卡在 Resolving dependencies
镜像只加速下载环节，不影响依赖解析。这个阶段卡住和网络无关，典型原因包括：
立即学习“PHP免费学习笔记（深入）”；
-
composer.json里用了过宽的版本约束，比如"php": "*"或"^7.4 || ^8.0 || ^8.1"，导致求解器暴力穷举 - 启用了
"minimum-stability": "dev"，强制拉取不稳定分支，候选包数量爆炸 -
composer.lock被删或未提交，composer install实际退化为update，触发全量重解析 - 项目
repositories字段中存在已下线的私有源，Composer 逐个超时才 fallback
快速排查：composer config --list | grep repositories 看实际生效源；composer validate --strict 检查 lock 文件合法性。
composer update 升级 CakePHP 4 组件真正提速的参数组合
光换镜像只是第一步。升级组件时建议组合使用以下参数：
-
--no-dev：跳过require-dev包（如phpunit、phpcs），节省 30–60% 时间 -
--prefer-dist：强制走 ZIP 包而非 git clone，避免 SSH/HTTPS 认证和 I/O 开销 -
--optimize-autoloader（或-o）：生成静态类映射，提升后续 PHP 执行效率 -
--classmap-authoritative（或-a）：仅限部署环境，关闭文件扫描；本地开发禁用（否则新增类直接Class not found）
第一方插件（如 app/plugins/FileManager）的依赖必须声明在主项目 composer.json 中，而非插件自身文件里——否则 Composer 会忽略它，或者引发重复安装与版本冲突。
