Composer镜像配置无法修改包的dist下载协议，因dist.url由包作者发布时固化，镜像仅同步元数据而不重写该字段；协议选择取决于包自身定义，镜像只影响packages.json拉取路径。
不能通过镜像配置文件直接指定包的下载协议。Composer 的镜像源（如 https://mirrors.aliyun.com/composer/）只提供元数据（packages.json）和 dist 文件分发地址，不参与、也无法控制单个包的下载协议选择——那是由包自身 dist.url 字段决定的，且协议在发布时就已固化。
为什么镜像配置里改不了 dist 协议？
镜像源同步的是 Packagist 上已发布的元数据快照，其中每个包的 dist.url 是原始作者填写的完整 URL（例如 "https://api.github.com/repos/vlucas/phpdotenv/zipball/v8.7.0"）。镜像站不会重写这个字段，也不会替换成 HTTP 或其他协议版本。你配置的镜像地址只影响 packages.json 的拉取路径，不影响 dist 包的实际下载地址。
- 即使你在
composer.json里把镜像设成http://，只要包的dist.url是 HTTPS，Composer 仍会走 HTTPS 下载 - 反之，若某个包的
dist.url是http://地址，而你全局开了"secure-http": true，Composer 会直接拒绝该包，报错The "http://..." repository has a non-HTTPS URL -
composer config repo.packagist这类命令只改元数据源，不改包内嵌的 dist URL
真正能干预 dist 协议的地方只有三处
想让某个包用特定协议下载，必须从源头或中间层动手：
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 包维护者在 GitHub Release 页面上传 ZIP 包，并确保
dist.url指向 HTTPS 地址（最根本） - 你自己 fork 后，在
composer.json中手动补全dist段，写死一个 HTTPS URL 和对应shasum - 在 Git 层用
git config --global url."https://".insteadOf "git@"或反向重写，影响所有基于 Git 的 source 克隆（但对 dist 无效）
常见误操作：以为改镜像就能改协议
很多人执行了这些命令，却发现包还是走 HTTP 或失败：
-
composer config -g repos.packagist composer http://xxx→ 缺少"secure-http": false，命令静默成功但后续 install 直接报错 -
composer config -g repo.packagist https://mirrors.tuna.tsinghua.edu.cn/composer/→ 少了末尾/，导致 404，元数据都拉不到，更别说 dist 协议了 - 在 CI 脚本里用
sudo composer config -g写 root 配置，但实际运行用户是www，配置完全不生效
协议不是镜像“配出来”的，是包“带过来”的；镜像只是搬运工，不负责改签收地址。真要控制协议，得去动包本身、Git 配置，或者换用 --prefer-dist + HTTPS 镜像组合来规避 source 分支带来的协议不确定性。
