composer config -g不能用于团队分发，因为它仅写入当前用户家目录的~/.composer/config.json，而PHP实际运行用户（如www-data）无法读取；真正全局生效的是/etc/composer/config.json，需满足目录存在、权限755、路径准确、repositories为对象且键名为packagist.org、URL为HTTPS并以/结尾四个条件。
为什么 composer config -g 不能用于团队分发
它只写入当前用户的 ~/.composer/config.json，而 PHP 实际运行用户（如 www-data、nginx、CI runner）根本读不到。你本地配好了，sudo -u www-data composer install 依然卡在 Loading composer repositories。
常见错误包括：sudo -u www-data composer config -g 直接失败（因为 www-data 通常无 shell），或脚本里用 chown -R www-data ~/.composer——该目录在多数生产环境根本不存在。
更隐蔽的问题是：即使 root 用户执行成功，CI 流水线用的是另一个用户，Docker 构建阶段又用的是镜像默认用户，配置永远不落地。
/etc/composer/config.json 是唯一真正全局生效的路径
Composer 2.2+ 会优先加载这个文件，不依赖 $HOME，所有用户（包括 www-data）都认它——但必须同时满足四个硬性条件：
-
/etc/composer/目录存在，权限为755，属主root:root - 配置文件路径严格为
/etc/composer/config.json（不能是/etc/composer.json或其他） -
"repositories"必须是对象（不是数组），键名严格为"packagist.org" -
"url"值必须是 HTTPS 且末尾带/，例如："https://mirrors.aliyun.com/composer/"
正确示例：
{
"config": {},
"repositories": {
"packagist.org": {
"type": "composer",
"url": "https://mirrors.aliyun.com/composer/"
}
}
}
验证是否真生效，必须用实际运行用户
别只在 root 下跑 composer config -g repo.packagist——那只是骗自己。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
应该切换到真实 PHP 执行用户验证：
-
sudo -u www-data composer config repo.packagist→ 应输出镜像 URL 对象 -
sudo -u www-data composer diagnose→ 确认不报Could not fetch packages.json -
sudo -u www-data composer show monolog/monolog | head -3→ 观察是否秒出，而非卡住
CI 流水线中若用 Docker，需把 /etc/composer/config.json COPY 进基础镜像，而不是在构建阶段执行 composer config 命令——后者写入的是构建时临时用户的家目录，容器运行时失效。
项目级配置才是跨环境最稳的兜底方案
即使系统级配置下发失败，只要 composer.json 顶层有正确的 "repositories" 字段，就能强制走镜像。但注意：
-
"repositories"必须是顶层字段，且值为对象（不是数组） - 键名必须是
"packagist"（不是"packagist.org"或"aliyun"） - 内容格式为：
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 已有私有源（如 Git VCS 源）必须保留在同一
"repositories"对象中，不能被覆盖
改完后必须删掉 vendor/ 和 composer.lock，再执行 composer install（不是 update）——旧 lock 文件里的哈希和 dist URL 来自官方源，镜像站路径映射不同，校验必然失败。
安全配置的核心不在“换源”，而在“不绕过签名验证”。/etc/composer/config.json 只管元数据加速，包文件下载仍走官方签名链；项目级配置则要确保没写错键名、没禁用 packagist、没漏掉 HTTPS 斜杠——这些细节一旦出错，Composer 就静默 fallback 到官方源，连提示都没有。
