composer config -g repo.packagist 不生效是因为未同时满足三个硬性条件：键名必须为单数 repo.packagist、第二参数必须显式写 composer（type值）、URL必须HTTPS且末尾带/；任一缺失即静默回退官方源，验证需输出完整JSON对象。
composer config -g repo.packagist 为什么总不生效
不是网络慢，也不是镜像站挂了，而是命令漏了三个硬性条件中的任意一个，Composer 就会静默 fallback 到 https://packagist.org，连警告都不给。
-
repo.packagist必须是单数、全小写、无 s —— 写成repos.packagist或packagist.org都无效 - 第二个参数必须是
composer，它是type值，不是可选注释，不能省 - URL 必须是 HTTPS，且末尾带
/：例如https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠会导致请求拼成/composerpackages.json，返回 404）
验证是否真写进去了：运行 composer config -g repo.packagist。输出必须是完整 JSON 对象，比如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。空、null、报错或只返回字符串，都说明没生效。
项目级配置比全局更可靠，但 repositories 格式很关键
全局配置看着省事，但在 CI/CD、宝塔后台、团队协作中极易失效——因为项目根目录下的 composer.json 里一旦有 repositories 字段，就会完全屏蔽全局设置，且不提示。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 推荐做法：进项目根目录，执行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（去掉-g） - 这条命令会安全合并进
composer.json的repositories对象，key 固定为"packagist" - 前提是原
repositories是对象格式（{}），不是数组（[]）；如果是数组，命令会失败，需先手动改成"repositories": {}再重试 - 已有私有源时，别手写 JSON —— 容易引号不全、逗号多写、漏括号，用命令追加最稳
换源后依然卡在 Resolving dependencies？那和镜像无关
镜像只加速包下载（Downloading 阶段），不影响依赖解析（Resolving dependencies）。如果你发现 composer update 卡住几十秒甚至几分钟，基本可以排除镜像问题。
- 检查
composer.json里的 PHP 版本约束是否太宽，比如"php": "^7.4 || ^8.0"，会让 Composer 尝试大量组合 -
require-dev里塞了太多未锁定版本的工具链（如"phpunit/phpunit": "^9"） - 存在大量
dev-分支依赖，或composer.lock没固定，导致每次解析都重新计算 - 临时解法：删掉
vendor/和composer.lock，再跑composer install；但治标不治本，建议收紧版本约束
安全配置不能只换 URL，还得保留 signature 验证
直接执行 composer config -g repo.packagist composer https://... 会完全替换官方源，跳过 packagist.org 的签名验证机制，带来供应链投毒风险。
- 真正安全的做法是：启用官方签名验证 + 元数据走镜像 + 包文件仍经校验下载
- 全局开启签名验证：
composer config -g security.signature true - 设置可信 HTTPS 镜像（仅代理元数据）：
composer config -g repos.packagist.type composer，再composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 确认未禁用证书校验：
composer config -g secure-http true（默认已开） - 验证：
composer diagnose输出中应同时出现secure-http: OK和signature verification: OK
容易被忽略的是：国内镜像站本身不生成 signature 字段，所以“换源即安全”是个常见误解；安全链路的核心不在 URL，而在是否保留并验证 packagist.org 返回的 signature。
