根本原因是packagist.org境外源导致DNS解析慢、TLS握手不稳定、CDN不友好；必须切换镜像，推荐华为云（https://packagist.mirrors.huaweicloud.com）或阿里云（https://mirrors.aliyun.com/composer/）镜像。
为什么 composer install 总卡在 packages.json 或下载超时？
根本原因不是网络差，而是默认源 packagist.org 位于境外，DNS 解析慢、TLS 握手不稳定、CDN 节点对国内不友好。尤其在 CI/CD 环境或公司内网，经常出现 Connection timed out 或 file_get_contents(): SSL operation failed。
换镜像不是“试试看”，而是必须项。主流中文镜像中，https://packagist.phpcomposer.com 已停用，目前稳定可用的是：https://packagist.org 的官方代理镜像 https://packagist.mirrors.huaweicloud.com（华为云）和 https://mirrors.aliyun.com/composer/（阿里云）。
- 华为云镜像响应快、SSL 证书兼容性好，适合 PHP 7.4+ 和 GitHub Actions 场景
- 阿里云镜像同步延迟略高（通常
- 不要用第三方维护的镜像（如某些 GitHub Pages 托管的），它们常因证书过期或配置错误导致
composer update报Invalid repository type
怎么全局切换 Composer 镜像？别只改 config.json
很多人只改项目级 composer.json 里的 repositories，结果 create-project 还是走原源——因为那是全局行为，不受项目配置约束。
正确做法是用 composer config 命令写入全局配置：
立即学习“PHP免费学习笔记（深入）”；
composer config -g repo.packagist composer https://packagist.mirrors.huaweicloud.com
注意三点：
- 必须加
-g（global），否则只影响当前目录 -
repo.packagist是固定键名，不能写成repositories或拼错 - 值必须是完整 URL，结尾不加斜杠，否则会报
Invalid repository url
验证是否生效：运行 composer config -g repo.packagist，输出应为对应镜像地址。
composer update 时提示 Package x is not available in the configured repositories 怎么办？
这不是镜像问题，而是镜像只代理 packagist.org 官方索引，不托管私有包或 GitHub/GitLab 直链仓库。如果你的 composer.json 里写了 "type": "package" 或自定义 vcs 源，镜像不会转发这类请求。
解决路径分两种：
- 如果是公司私有包，保留原有
repositories配置，仅把packagist.org替换为镜像，其他源不动 - 如果用了
"type": "vcs"指向 GitHub，确保该仓库是公开的；私有仓库需配置auth.json，且镜像不介入认证流程——认证仍走原始 Git 协议 - 最常见误操作：把整个
repositories数组替换成镜像地址，导致 Composer 忽略所有非 packagist 包，直接报错
CI/CD 中使用镜像要注意证书和缓存路径
Docker 构建或 GitHub Actions 里，composer install 失败常因两件事：SSL 证书验证失败、缓存目录权限不对。
华为云/阿里云镜像都用有效 HTTPS 证书，但某些旧基础镜像（如 php:7.2-cli）CA 证书库过期，会报 unable to verify the first certificate。临时解法：
composer config -g secure-http false
但更稳妥的是升级基础镜像（用 php:8.1-cli 或更高），或在构建阶段更新 CA 包：
apt-get update && apt-get install -y ca-certificates
另一个坑是缓存路径：默认 ~/.composer/cache 在 CI 中可能被清空或不可写。建议显式指定：
composer install --no-interaction --prefer-dist --cache-dir /tmp/composer-cache有些团队把镜像 URL 写死在项目
composer.json 里，看似省事，实则破坏了环境一致性——开发机用阿里云，测试机却因全局配置用了华为云，导致依赖解析结果不一致。镜像该配在哪儿，取决于你控制部署环境的能力。 
