Composer镜像配置必须同时满足键名repo.packagist、type值composer、URL为HTTPS且末尾带/，三者任一错误即静默回退官方源；验证需输出完整JSON对象，项目级配置比全局更可靠。
配错就等于没配，Composer 2.x 对镜像配置格式零容忍——键名、type、URL 三者任一出错，都会静默 fallback 到 packagist.org，不报错、不提示、也不写入配置。
composer config -g repo.packagist 命令为什么没反应
不是网络卡，也不是权限不足，而是命令本身写错了三个硬性条件中的至少一个：
- 键名必须是
repo.packagist（单数，不能多写一个s） - 中间参数必须是
composer（这是type值，不是可选或默认项） - URL 必须是 HTTPS 且末尾带
/—— 比如https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠会拼出/composerpackages.json导致 404）
任一出错，Composer 2.x 都静默回退至官方源。验证方式只有一种：composer config -g repo.packagist。输出必须是完整 JSON 对象，形如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。如果返回空、null、Key not found 或只返回 URL 字符串，说明根本没写进去。
项目级配置比全局更可靠
全局配置（composer config -g）只对当前 shell 用户生效，在宝塔（www 用户）、GitHub Actions（runner 用户）、Docker 构建环境里基本等于没配。项目级配置写进 composer.json，才能保证协作和部署一致。
- 在项目根目录运行：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（注意不加-g） - 该命令会自动向
composer.json的repositories字段追加packagist条目，不覆盖已有私有源 - 如果
composer.json原来是"repositories": []（数组），命令会报错；得先手动改成"repositories": {}（空对象）再重试 - 改完立刻删掉
vendor/和composer.lock，再跑composer install——旧lock文件里的哈希仍指向海外源，不删它，换镜像也白搭
哪些镜像源当前真实可用且稳定
截至 2026 年 7 月，经高频实测（Laravel 11、PHP 8.5.5、monolog 3.x 等主流包安装验证），仍在持续同步、响应正常、支持 Composer 2.9.6+ 元数据格式的国内镜像只有以下四个：
-
https://mirrors.aliyun.com/composer/—— 同步频率最高（约 15 分钟），TLS 证书稳定，南方/北方用户延迟均低于 60ms -
https://mirrors.tuna.tsinghua.edu.cn/composer/—— 教育网及北方地区极快，但部分私有包索引略滞后 -
https://mirrors.cloud.tencent.com/composer/—— 华南地区实测下载速度峰值达 9.2MB/s，HTTPS 证书链已修复 -
https://packagist.mirrors.sjtug.sjtu.edu.cn/—— 无商业干扰，更新节奏保守但可靠，Laravel/Symfony 包基本当天入库
其余常见地址如 https://packagist.phpcomposer.com、https://packagist.laravel-china.org 已停服或返回 404/502；所有 HTTP 地址（无 https://）在 Composer 2.2+ 中默认被拒绝。
换源后还是卡在 Resolving dependencies
镜像只加速包下载和元数据拉取，不参与依赖解析。卡在这里和镜像源完全无关。
-
"php": "^7.4 || ^8.0"这类宽泛约束会让 Composer 尝试大量版本组合，拖慢解析 -
require-dev里塞了太多未锁定版本的工具（比如"phpunit/phpunit": "^10.0"） - 用了大量
dev-main或dev-develop分支依赖 - PHP 内存不足（默认 128M 不够），临时加
COMPOSER_MEMORY_LIMIT=-1再试 - 启用了 xdebug：运行
php -v看是否含xdebug，它会让解析慢 5–10 倍；临时禁用：php -d xdebug.mode=off $(which composer) install
最常被忽略的一点：换源后不执行 composer clear-cache，旧缓存里的 packages.json 还指向官方源，Composer 会先尝试从那里解析，导致“看似换了源，实则还在连国外”。
