Invalid credentials错误主因是配置了已下线或需认证的镜像源（如packagist.phpcomposer.com），而非密码错误；应先运行composer config -g repo.packagist确认并清除错误源，再严格执行composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/配置阿里云镜像，末尾斜杠和-g参数缺一不可，并删除vendor与composer.lock重装。
直接换国内镜像源，别填用户名密码——报 Invalid credentials 不是因为你输错了，而是你在用已下线或需要认证的国外镜像源（比如旧版 https://packagist.phpcomposer.com 或某些私有源），根本不是凭据问题。
为什么 composer install 会提示输入用户名密码
这不是 Composer 主动要你登录，而是它尝试访问某个配置中的 repository URL 时，对方返回了 HTTP 401（Unauthorized）。常见来源：
- 项目级
composer.json里写了带认证的私有源（如 GitLab Package Registry、自建 Satis 服务），但没配auth.json - 全局镜像配置残留了已停运的源（例如
packagist.phpcomposer.com，2021 年起就不再响应，部分客户端会伪造 401） - CI/CD 环境中误用了需 token 的企业源，却没注入
COMPOSER_AUTH环境变量
检查并清除错误的镜像配置
先确认当前生效的是哪个源：
- 运行
composer config -g repo.packagist，如果输出含"url": "https://packagist.phpcomposer.com"或类似非阿里云/腾讯云/华为云的域名，立刻停用 - 运行
composer config --list | grep repositories，看是否项目根目录composer.json里有"repositories"字段——哪怕空数组[]都会屏蔽全局镜像 - 执行
composer config --unset repositories（注意不加-g）临时清掉项目级配置
正确配置国内可信镜像（阿里云为例）
必须严格按格式执行，少一个字符都存不进全局配置：
- 命令末尾必须带
composer作为 type：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - URL 必须 HTTPS + 末尾斜杠，写成
https://mirrors.aliyun.com/composer（缺斜杠）会导致拼出/composerpackages.json这种非法路径 - 必须加
-g，否则只改当前目录，换项目就失效 - 验证是否写入成功：
composer config -g repo.packagist应输出完整 JSON 对象，不是空或报错
仍报 401？重点查这三处
换镜像后还卡在认证环节，说明问题不在全局源，而在更隐蔽的地方：
-
vendor/目录或composer.lock里硬编码了旧源地址——删掉整个vendor/和composer.lock再试 - CI 环境（如 GitHub Actions、GitLab CI）里设置了
COMPOSER_REPO_PACKAGIST或COMPOSER_AUTH环境变量，优先级高于 config，得检查 workflow 文件 - 某些 IDE（如 PHPStorm）内置 Composer 会读取自己缓存的配置，重启 IDE 或清其 Composer 缓存
真正麻烦的不是输错密码，而是你以为在填密码，其实是在给一个早已失效的 URL 徒劳认证。镜像源一旦配错，composer install 就永远卡在第一步——它甚至不会告诉你连的是谁。
