根本原因是国内直连Packagist官方源受DNS污染、TLS阻断或CDN不可达影响，导致连接层失败；必须用composer config -g repo.packagist切换阿里云等国内镜像源并执行composer clear-cache验证生效。
为什么 composer update 卡在 Updating dependencies 或直接超时
国内直连 Packagist 官方源（https://packagist.org）经常失败，表现为命令长时间无响应、报 cURL error 28: Operation timed out，或卡在 Resolving dependencies 阶段。这不是 Composer 本身的问题，而是 DNS 污染、TLS 握手阻断、或 CDN 节点不可达导致的连接层失败。
实操建议：
- 先运行
composer diagnose确认基础网络是否通畅（它会测试 HTTPS 连接和 CA 证书） - 若提示
The "https://packagist.org/packages.json" file could not be downloaded，基本可锁定为源问题 - 不要尝试手动改
composer.json的repositories字段来硬切镜像——容易覆盖项目私有源或破坏版本约束逻辑 - 优先使用全局配置切换镜像源，一劳永逸且不影响项目结构
用 composer config -g repo.packagist 切换国内镜像源
这是最稳定、兼容性最好的方式。Composer 从 1.0 起支持全局自定义 Packagist 镜像，所有项目自动生效，且不会干扰 composer.json 中声明的私有仓库。
实操建议：
- 执行
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（阿里云源，稳定、同步快） - 如需切回官方源：
composer config -g --unset repo.packagist - 验证是否生效：运行
composer config -g repo.packagist，应输出{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 注意：不要加末尾斜杠以外的路径（比如
/packages.json），否则会触发 404
遇到 Could not fetch https://mirrors.xxx.com/...: file could not be downloaded
镜像源本身偶尔也会因同步延迟、SSL 证书过期或 CDN 缓存异常返回 404 或 502。此时 Composer 不会自动降级，而是直接中断。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
实操建议：
- 临时换一个镜像源试试，例如清华源：
composer config -g repo.packagist composer https://packagist.phpcomposer.com（已停用，别用）→ 改用https://mirrors.tuna.tsinghua.edu.cn/composer/ - 清除本地缓存再试：
composer clear-cache（它会删掉~/.composer/cache/下所有内容） - 如果项目依赖了 GitHub 上的私有包，确保
github-oauth配置仍有效（镜像源不代理 GitHub 原始 zip 包下载） - 极少数情况是 PHP cURL 扩展没启用 HTTP/2 支持，可加
-d http2=0强制走 HTTP/1.1（但仅限调试，非长期方案）
CI/CD 环境下如何避免因源不稳定导致构建失败
自动化流程里不能依赖交互式重试或人工干预。必须让 composer install 在首次失败后有 fallback 机制。
实操建议：
- 在 CI 脚本中用 shell 尝试两次不同镜像：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ && composer install || (composer config -g repo.packagist composer https://mirrors.tuna.tsinghua.edu.cn/composer/ && composer install)
- 禁止在
.gitignore中忽略composer.lock—— 它能锁死依赖哈希，大幅降低对源实时性的依赖 - 如果项目用了
platform-check或config.platform，确认镜像源返回的元数据格式一致（主流镜像都兼容，但小众源可能漏字段）
真正麻烦的不是换源本身，而是有些团队把 composer.lock 提交到 Git 后又长期不更新，结果某天突然要加一个新包，才发现镜像源返回的 packages.json 版本索引和本地 lock 文件里的 hash 对不上——这时候得先 composer update --lock，而不是盲目重跑 install。
