必须加-g才生效，否则为项目级配置；键名必须为repo.packagist（单数），URL须HTTPS且末尾带/，执行后需验证输出是否为{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}。
composer config -g repo.packagist 命令必须加 -g 才生效
不加 -g 就是项目级配置，只改当前 composer.json 的 repositories 字段，但阿里云镜像要接管元数据请求（packages.json、provider-*.json），必须走全局单例配置。Composer 2.2+ 之后，repo.packagist 这个键名不能写成 repos.packagist 或 repository，否则直接忽略。
正确命令只有一条：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
-
https://开头、末尾带/是硬性要求，少一个都会返回 404 或报Invalid repository type - 执行后检查：
composer config -g repo.packagist应输出{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 如果输出为空或仍是
https://repo.packagist.org，说明没生效——别重试，先删掉~/.composer/config.json再跑一遍
alibabacloud/client 和服务包必须一起装
只装 alibabacloud/client 不会报错，但调用 AlibabaCloud\Ecs\Ecs 时会抛 Class not found。它只是运行时骨架，所有 API 定义都在独立服务包里。
以 OSS 为例，得同时执行：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer require alibabacloud/client alibabacloud/oss
- 不是
aliyun/oss-sdk-php，那个是旧版，已停止维护；新版统一用alibabacloud/*命名空间 - PHP 版本要匹配：7.2–8.1 用
alibabacloud/oss:^2.7，8.0+ 才能用^3.0 - 如果项目锁死了
guzzlehttp/guzzle到 v6.x，而alibabacloud/client要求 v7+，就会冲突——要么升级 Guzzle，要么降级 SDK（不推荐）
OssClient 初始化必须显式传 endpoint，不能靠 region 推导
填错 endpoint 最常见两个错误：RequestExpired（签名时间校验失败）和 Forbidden（权限拒绝），本质都是 endpoint 解析到错误地域的服务器上。
- OSS endpoint 格式是
https://oss-<region>.aliyuncs.com</region>，不是https://oss.<region>.aliyuncs.com</region>（中间必须有-） - 内网访问要用
-internal后缀，比如oss-cn-hangzhou-internal.aliyuncs.com - 别硬编码字符串，用配置项或常量管理，避免拼写错误（
cn-hangzou这种 typo 会导致 403） - 开发时开调试：
AlibabaCloud::debug(true)，能看到实际发出的 URL 和签名参数，比猜快得多
AccessKey 绝对不能写死在代码或 .env 里
线上环境一旦把 ALIBABA_CLOUD_ACCESS_KEY_ID 和 ALIBABA_CLOUD_ACCESS_KEY_SECRET 写进 .env 或 PHP 文件，就等于把钥匙贴在门上——Git 提交、日志打印、容器镜像导出都可能泄露。
- 推荐方案：ECS 上用 RAM 角色，函数计算用 STS Token，本地开发用 CLI 配置（
aliyun configure） - 环境变量方式仅限 CI/CD 流水线注入，且要确保变量名不被日志系统捕获（如禁用
ALIBABA_*日志输出） - 初始化 Client 时，凭证必须通过
credentials数组传入，而不是从$_ENV直接读——这样能强制走安全路径
镜像配对了、SDK 装全了、endpoint 写准了、密钥管住了，才真正算“快速导入”。漏掉任何一环，都会卡在奇怪的报错里，而不是慢——慢是网络问题，错是配置问题。
