真正有效的 Pod 级流量控制必须从容器网络栈下手，仅靠 Composer 配置无效；可靠路径是 iptables+tc 限速或 Calico 等支持 bandwidth 的 CNI 插件实现出口带宽整形。
Pod 里跑的 PHP 容器执行 composer install 时，流量不受控——不是因为 Composer 本身能限流，而是你没在容器层面掐住出网通道。K8s Pod 默认共享节点网卡，一个租户容器疯狂拉包，会挤占其他租户带宽甚至触发云厂商流量计费。
为什么 composer config --global 对 Pod 流量无效
全局镜像配置（如 repo.packagist）只改请求目标地址，不控制并发、速率或总流量。它解决的是「去哪下」，不是「怎么下」。更关键的是：~/.composer/config.json 在无持久化卷的 Pod 里每次重启就丢，配置根本没生效；即使写进了镜像，也挡不住单次 composer install 向镜像源发起的数十个并行 HTTP 请求。
-
composer install默认启用并行下载（process-timeout和内部连接池控制），单次操作可能瞬时打出几百 MB 出网流量 - K8s 的
limitRange或ResourceQuota管不了网络 IO，只管 CPU / 内存 / 存储 - 镜像源本身若没做限速（如 Nginx 未配
limit_rate），容器侧再怎么调参数也白搭
真正有效的 Pod 级流量控制手段
必须从容器网络栈下手，绕过 Composer 层直接干预 TCP 连接行为。有且仅有两个可靠路径：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 用
iptables+tc在容器启动时注入限速规则：例如限制所有发往mirrors.aliyun.com的流量为 2MB/s，命令需在initContainer或ENTRYPOINT中执行，且依赖NET_ADMIN权限 - 通过 K8s
NetworkPolicy配合 CNI 插件（如 Calico）实现出口带宽整形：Calico v3.24+ 支持bandwidth字段，但仅作用于 Pod 到外部服务的总流量，无法按域名精细区分 - 禁止使用
--prefer-dist以外的安装方式：--prefer-source会触发 Git 克隆，流量不可控且易超时；composer install必须加--no-plugins --no-scripts，避免第三方插件偷偷发起额外请求
租户间流量隔离的实际约束
多租户场景下，你没法靠 Composer 自身做到「A 租户最多用 10MB 流量，B 租户最多用 5MB」——它的设计模型里根本没有租户维度的计量单元。所谓「隔离」只能靠基础设施层硬切：
- 每个租户 Pod 分配独立 ServiceAccount，并绑定
NetworkPolicy限定可访问的镜像源域名（如只允许pkgs.tenant-a.example.com） - 所有私有镜像源必须部署在内网，且前置 Nginx 做
limit_conn+limit_req，按$remote_addr或$http_authorization令牌限速 - 别信「用
COMPOSER_CACHE_DIR指向共享 PVC 就能省流量」——缓存文件是按 package hash 存的，不同租户的composer.lock差异大，命中率极低，反而因 NFS 锁争抢拖慢整体速度
最常被忽略的一点：流量控制生效的前提，是你得先确认出网路径。如果 Pod 使用 hostNetwork: true 或 NodePort 直连宿主机网卡，上面所有 iptables 规则都得在宿主机上配，而不是容器里——而 K8s 默认不允许容器修改宿主机网络栈。
