根本原因是未同时满足三个硬性条件：键名必须为repo.packagist（单数小写）、中间必须显式指定type值composer、URL必须HTTPS且末尾带/；缺一即静默回退官方源。
composer config -g repo.packagist 命令为什么总不生效
根本原因不是网络卡，而是命令漏了三个硬性条件：键名必须是 repo.packagist（单数），中间的 composer 是 type 值、不可省略，URL 必须是 HTTPS 且末尾带 /。漏掉任意一个，Composer 2.x 就会静默 fallback 到 https://packagist.org，不报错也不提示。
常见错误现象：
-
composer config -g repo.packagist https://mirrors.aliyun.com/composer/—— 缺 type，配置结构不合法，部分版本直接丢弃 -
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer—— 少末尾/，请求路径变成/composerpackages.json，返回 404 后自动切回官方源 -
composer config -g repos.packagist composer https://mirrors.aliyun.com/composer/—— 键名多一个s，完全不识别
验证是否真写入成功，只看这一条命令输出：composer config -g repo.packagist
必须返回完整 JSON 对象，形如：{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}
空、null、"https://packagist.org" 或只返回字符串，都说明没配对。
项目级配置比全局更可靠，但写法有陷阱
全局配置写在 ~/.config/composer/config.json（Linux/macOS）或 %APPDATA%\Composer\config.json（Windows），CI 流水线、Docker 容器、宝塔面板等环境往往用的是其他用户身份，根本读不到你的全局配置。项目级配置直接写进 composer.json，拉代码即生效。
正确做法是在项目根目录执行（不加 -g）：composer config repo.packagist composer https://mirrors.aliyun.com/composer/
但它不会“添加”，而是按 composer.json 中 repositories 的当前结构做不同处理：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 如果
"repositories": {}（空对象），会安全写入"packagist"子项 - 如果
"repositories": []（数组），该命令会直接覆盖整个字段，导致已有的私有 Git 源丢失 - 如果
"repositories": {"my-private": {...}}（已有对象），会 merge 进去，保留原有内容
更重要的是：光配 packagist 不够，必须显式禁用默认源。否则 Composer 仍会先尝试 packagist.org，卡在 “Loading composer repositories” 或报 404。需确保 composer.json 的 repositories 对象里有："packagist.org": false
且与 "packagist" 同级。
换镜像后 composer install 还卡在 0 B/s？不是镜像问题，是 lock 文件和缓存拖后腿
composer.lock 文件里硬编码了每个包的 dist.url 和哈希值，这些地址来自旧源（比如 https://api.github.com/ 或 https://packagist.org/）。即使镜像已生效，Composer 仍优先按 lock 里的原始 URL 去下载——而阿里云镜像的路径映射规则和官方不同，结果就是校验失败、下载中断，甚至静默跳过。
必须执行三步清理：
- 运行
composer clear-cache清掉本地元数据缓存 - 删掉项目下的
vendor/目录和composer.lock文件 - 再执行
composer install -vvv，观察日志中Downloading行出现的域名是否为mirrors.aliyun.com
如果日志里还是 packagist.org，说明镜像根本没走通，回头检查前两个副标题里的硬性条件。
PHP 8.3 + Composer 2.7 下要注意同步延迟和签名兼容性
阿里云、腾讯云镜像目前（2026年8月）已全量支持 Composer 2.7，但有两个容易被忽略的细节：
- 部分未发布 tag 的 dev 分支包，在镜像中可能有最多 5 分钟同步延迟；若
composer require vendor/package:dev-main报 “Could not find package”，先等几分钟再试 - Composer 2.6 起默认启用 lock 文件哈希校验，要求镜像服务器正确提供
packages.json的签名字段；老镜像或自建镜像若缺失该字段，composer install会直接失败，而非降级
所以别盲目信任“能访问就等于能用”。实测可用的镜像只有三个（2026年8月19日）：https://mirrors.aliyun.com/composer/https://mirrors.cloud.tencent.com/composer/https://mirrors.huaweicloud.com/repository/php/
其余旧地址基本不可靠，尤其注意华为云路径结尾必须带 /，且结构为 /repository/php/，不是 /composer/。
