composer config -g repo.packagist 总不生效是因为三个硬性条件缺一不可：键名必须为单数 repo.packagist、type 值必须显式写 composer、URL 必须 HTTPS 且末尾带 /；任一错误即静默回退官方源，验证需输出完整 JSON 对象。
生产环境必须用全局镜像配置 + 四参数 install，缺一不可；项目级配置在 CI/Docker/多用户场景下大概率失效。
composer config -g repo.packagist 为什么总不生效
它根本不是“有时有效有时无效”，而是三个硬性条件缺一即静默 fallback 到 packagist.org，且完全不报错：
-
repo.packagist必须是单数、全小写；写成repos.packagist或repositories.packagist.org就被彻底忽略 -
composer是必填的type值，不能省略；漏掉后新版 Composer 直接跳过该配置 - URL 必须是
https://mirrors.aliyun.com/composer/这种格式——末尾斜杠 不能少，少了会拼出/composerpackages.json导致 404，然后静默回退
验证是否真写进去了？只看 composer config -g repo.packagist 输出。正确结果必须是完整 JSON：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。空、null、报错，说明压根没写成功。
生产环境 composer install 必须加的四个参数
换镜像只是第一步，install 不加参数等于裸奔：
-
--no-dev：跳过require-dev，避免拉入 phpunit/mockery 等大体积包，也防测试类污染 classmap -
--no-scripts：禁用post-install-cmd类脚本，ThinkPHP 的clear:runtime、Laravel 的optimize在只读文件系统或并发部署时必挂 -
--no-autoloader：先不生成 autoload，避免因权限或路径问题中断整个流程 -
--prefer-dist：强制走 ZIP 包而非 git clone，减少网络和 I/O 不确定性
装完再单独跑 composer dump-autoload -o，可控、可重试、可捕获错误。
为什么不能只靠项目级 repositories 配置
CI/CD 流水线、Docker 构建、宝塔面板、多用户服务器里，~/.composer 往往不存在，或权限不属于当前运行用户（比如 PHP-FPM 以 www-data 身份运行，根本读不到你的家目录）。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
项目级配置看似方便，但实际落地时有三道坎：
-
"repositories"字段在composer.json中必须是数组，且首项必须为{"packagist.org": false}，否则 Composer 2.2+ 仍可能 fallback - 若已有私有源，手动维护
repositories数组极易出错；写错结构（比如把"packagist": true漏掉）会导致新包找不到 - 镜像 URL 若没配对，
composer install -vvv日志里照样出现packagist.org请求，你却以为“已经配好了”
真正能覆盖所有执行上下文的方式只有两种：写 /etc/composer/config.json（需严格满足路径、权限、JSON 结构），或在 CI 脚本开头就执行正确的 composer config -g 并断言输出。
安全与性能不可兼得？其实是同一回事
很多人以为“换镜像 = 加速”，但真实风险在于：用 composer config -g repo.packagist 完全替换官方源，会绕过 packagist.org 的 signature 校验，导致供应链投毒风险。
正确做法是保留签名验证能力：
- 先开签名：
composer config -g security.signature true - 再设可信 HTTPS 镜像（仅代理元数据）：
composer config -g repos.packagist.type composer和composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 确认
secure-http未被关闭：composer config -g secure-http true（默认开启）
验证是否生效？跑 composer diagnose，看输出里有没有 secure-http: OK 和 signature verification: OK。没有，说明安全链路已断。
