项目级配置是唯一可靠选择，因全局配置仅写入当前用户~/.composer/config.json，在CI/CD、Docker、宝塔等环境中执行用户不同（如runner、www）或无家目录，导致静默失效；composer config -g repo.packagist需同时满足键名单数、显式type值composer、HTTPS且末尾带/三个硬性条件，缺一即回退官方源。
项目级配置是敏捷开发中唯一可靠的选择，全局配置在 CI/CD、Docker、宝塔等多用户或隔离环境中必然失效。
为什么 composer config -g repo.packagist 在线上环境总不生效
它只写入当前用户的 ~/.composer/config.json，而 GitHub Actions 用 runner 用户、宝塔用 www 用户、Docker 容器里甚至没有你的家目录。常见现象是本地 composer install 很快，推到 CI 就卡在 Loading composer repositories，日志里全是 packagist.org 的请求地址。
必须按实际运行用户单独配置：
- 宝塔部署前确认执行用户：
sudo -u www composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - GitLab CI 脚本里别依赖全局配置，改用
--repository-url=https://mirrors.aliyun.com/composer/ - Windows 下注意
%APPDATA%\Composer\config.json可能被系统锁定，手动编辑后需检查文件可写性
composer config repo.packagist 必须满足的三个硬性条件
漏掉任意一个，Composer 2.2+ 会静默 fallback 到 https://packagist.org，不报错、不提示、不警告：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 键名必须是单数
repo.packagist（repos.packagist或packagist.org都无效） - 第二个参数必须显式写
composer，这是 type 声明，不是可选注释 - URL 必须以
https://开头、以/结尾，例如https://mirrors.aliyun.com/composer/；少斜杠会导致请求路径拼成/composerpackages.json返回 404
验证是否真生效，只看这一行输出：composer config -g repo.packagist。正确结果必须是完整 JSON：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。返回空、null、"https://packagist.org" 或报 Key not found，说明失败。
项目级配置怎么写才安全且可协作
项目级配置写进 composer.json，Git 可追踪、协作者拉代码即生效、CI 流水线无需额外步骤。但手改容易出错：
- 不要手动往
composer.json里硬编码"repositories"字段——Composer 会合并而非覆盖，导致同时向阿里云、腾讯云、私有源发请求，反而更慢 - 必须用命令写入：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加-g），它会自动插入或更新顶层"repositories"对象，key 固定为"packagist" - 如果项目已有
"repositories": []（数组格式），命令会报错；需先手动改成"repositories": {}（对象格式）再执行 - 改完必须删掉
vendor/和composer.lock，再跑composer install；update会沿用旧 lock 中的 dist URL，照样走官方源
最易被忽略的一点：换源后仍卡在 Resolving dependencies，和镜像完全无关——镜像只加速包文件下载，不参与依赖解析。这时候该查 composer.json 里的版本约束是否过于宽泛，或者 PHP 环境是否禁用了 proc_open。
