CI中composer config -g不生效是因为全局配置路径因用户隔离而失效，应改用项目级配置composer config repo.packagist composer https://mirrors.aliyun.com/composer/，并确保Composer≥2.2、URL末尾带/、环境变量全大写且无冲突。
CI里composer config -g为什么总不生效
因为CI执行命令的用户（比如runner、www-data或容器内非root用户）和你本地配置时的用户不是同一个，~/.composer/config.json路径完全隔离。你在自己终端跑composer config -g，写进的是/home/yourname/.composer/config.json，而CI根本不会读这个文件。
- GitLab Runner 默认用
gitlab-runner用户，GitHub Actions 用runner用户，宝塔用www用户——这些用户的~/.composer/目录是空的或从未配置过 -
sudo composer config -g写进了root的配置，但实际执行composer install的是普通用户，权限不匹配等于白配 - 拼错键名（比如
repos.packagist多一个s，或repo.packagist.org）会静默失败，composer config -g repo.packagist返回空也不报错
项目级配置才是CI真正可靠的方案
把镜像地址写进composer.json，所有环境行为一致，且优先级高于全局设置。进项目根目录后直接运行：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/
这条命令会自动处理三种常见结构：
- 如果
"repositories": {}（空对象），就往里面加"packagist"字段 - 如果
"repositories": []（数组），它会向末尾插入新项，不破坏已有私有源 - 如果压根没
repositories字段，就新建一个，key 固定为"packagist"（不能叫"aliyun"或"mirror"）
⚠️ 手动编辑composer.json风险极高：少一个逗号、引号不闭合、或多一个不可见空格，CI就会报JSON decode error直接中断。
镜像URL末尾的/和Composer版本必须同时满足
COMPOSER_REPO_PACKAGIST=https://mirrors.aliyun.com/composer/这类环境变量只在Composer ≥2.2生效，而很多CI基础镜像（如php:8.1-cli自带的仍是2.1.x）根本不识别它。
- 先验证版本：
composer --version输出必须是Composer version 2.2.0或更高 - URL末尾
/不可省——少了会请求/composerpackages.json导致404，Composer 2.2+会静默fallback回packagist.org - 环境变量名必须全大写、字母一个不能少：
COMPOSER_REPO_PACKAGIST，漏掉S或写成COMPOSER_REPO_PACKAGIEST都无效 - 如果
composer.json里写了"packagist.org": false，环境变量会被直接忽略——它只覆盖启用状态下的主源
缓存路径和安装参数必须配套使用
只缓存vendor/是高危操作，不同PHP版本、扩展或OS下生成的autoloader不能混用，缓存错版本会导致Class not found或Cannot declare class。
- 该缓存的是
~/.composer/cache（或通过COMPOSER_CACHE_DIR指定路径），它只跟composer.lock哈希绑定，与环境无关 - CI脚本中必须加
--no-interaction --no-progress --prefer-dist --optimize-autoloader --ignore-platform-reqs，少一个都可能拖慢或失败 - 换镜像后首次运行前，务必执行
composer clear-cache并删掉vendor/和composer.lock，否则旧缓存里的元数据还在内存里苟着 - 验证是否真走镜像：用
composer install -vvv 2>&1 | grep "GET https://mirrors.aliyun.com"，日志里出现对应URL才算生效
镜像本身不解决依赖解析慢的问题——如果你卡在Resolving dependencies，那和镜像无关，得收紧composer.json里的PHP版本约束、锁定require-dev包版本、避免dev-main分支依赖。
