composer config -g repo.packagist 命令无反应是因为键名、type值或URL格式错误：键名必须为repo.packagist（单数），type必须为composer，URL须为HTTPS且末尾带斜杠；任一不符则Composer 2.x静默回退至官方源。
composer config -g repo.packagist 命令为什么没反应
不是网络卡，也不是权限不足，而是命令本身写错了三个硬性条件中的至少一个：键名必须是 repo.packagist（单数，不能多写一个 s），中间参数必须是 composer（这是 type 值，不是可选或默认项），URL 必须是 HTTPS 且末尾带斜杠 —— 比如 https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠会拼出 /composerpackages.json 导致 404）。任一出错，Composer 2.x 都静默 fallback 到官方源，不报错、不提示、也不写入配置。
验证镜像是否真的生效了
别信“执行完就 OK”，必须验证。最直接的方式是运行：composer config -g repo.packagist。输出必须是完整 JSON 对象，形如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。如果返回空、null、Key not found 或只返回 URL 字符串，说明配置根本没写进去。
- 再补查一次：
composer diagnose，看Repo.packagist.org这一行是否显示你的镜像地址 - 临时加
--no-cache跑一次：composer update --no-cache -vvv，观察日志里请求的域名是不是mirrors.aliyun.com
项目级配置比全局配置更可靠
全局配置（composer config -g）只对当前 shell 用户生效，在宝塔（www 用户）、GitHub Actions（runner 用户）、Docker 构建环境里基本等于没配。项目级配置写进 composer.json，才能保证协作和部署一致。
- 进项目根目录，运行：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（去掉-g） - 如果
composer.json原来是"repositories": []（数组），命令会报错；得先手动改成"repositories": {}（空对象）再重试 - 改完立刻删掉
vendor/和composer.lock，再跑composer install—— 旧lock文件里的哈希仍指向海外源，不删它，换镜像也白搭
换源后还是卡在 Resolving dependencies
镜像只加速包下载，不参与依赖解析。卡在这里和镜像源完全无关。
-
"php": "^7.4 || ^8.0"这类宽泛约束会让 Composer 尝试大量版本组合，拖慢解析 -
require-dev里塞了太多未锁定版本的工具（比如"phpunit/phpunit": "^10.0"） - 用了大量
dev-main或dev-develop分支依赖
这些情况换任何镜像都无效，得收紧版本约束、锁定 dev 工具、精简依赖树。
