composer config -g repo.packagist 配置失效因未同时满足三点：键名必须为 repo.packagist（非 repos），type 值必须显式指定为 composer，URL 必须以 / 结尾；否则静默回退至 packagist.org。
composer config -g repo.packagist 命令为什么总不生效
不是命令失败，是 Composer 完全忽略配置——写错任意一个硬性条件，它就静默 fallback 到 https://packagist.org，你根本看不到报错。
必须同时满足这三点：
-
repo.packagist键名不能写成repos.packagist（多一个s就彻底失效） - 中间必须显式传入
composer作为 type 值：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - URL 必须以
/结尾：https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠会导致请求/composerpackages.json，404）
验证是否真写进去了：composer config -g repo.packagist 输出必须是完整 JSON 对象，比如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。空、null 或仍是官方地址，说明没成功。
用哪条命令能一次性配好阿里云/清华/华为云镜像
别拼 URL，直接复制粘贴下面任一命令（注意结尾斜杠和中间 composer 参数）：
- 阿里云：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 清华源：
composer config -g repo.packagist composer https://mirrors.tuna.tsinghua.edu.cn/composer/ - 华为云：
composer config -g repo.packagist composer https://mirrors.huaweicloud.com/repository/php/composer/
华为云地址特别容易错：不是 /composer/，而是 /repository/php/composer/；清华和阿里云末尾都必须带 /，漏掉就 404。
执行完立刻验证：composer config -g repo.packagist 看输出，再跑 composer install -vvv 2>&1 | grep "Downloading"，确认日志里域名是镜像站，不是 packagist.org。
项目级配置怎么加才不破坏私有源
全局配置在 CI、宝塔、Docker 里经常不生效（因为运行用户不是你），项目级更可靠，但手改 composer.json 容易误删已有私有仓库。
安全做法是进项目根目录后执行（不加 -g）：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/
这条命令会自动向 composer.json 的 repositories 字段追加 packagist 条目，不会覆盖已有的 Git 私有源。
但注意前提：
- 如果
composer.json原来是"repositories": {}，命令能转成标准对象并插入 - 如果原来是
"repositories": []（数组），命令会报错，需先手动改成对象结构再重试 - 改完务必运行
composer update --lock，否则composer.lock还记着旧源地址
配完还卡在 Resolving dependencies？这不是镜像的事
镜像只加速下载环节（Downloading、Fetching package），Resolving dependencies 是纯本地 CPU 计算，完全不走网络。
这个阶段卡住，常见真实原因：
-
memory_limit太低（默认 128M 不够），临时加COMPOSER_MEMORY_LIMIT=-1测试 - 启用了
xdebug（php -v含 xdebug），会让解析慢 5–10 倍；临时禁用：php -d xdebug.mode=off $(which composer) install -
composer.json里写了"minimum-stability": "dev"或太宽泛的版本约束（如"*"），导致穷举组合爆炸 -
composer.lock里残留已下线包，或"php": "7.4"却在 PHP 8.2 上运行，触发降级查找逻辑
最干净的重试方式：rm -rf vendor composer.lock && composer install --no-cache，而不是反复换镜像。
