截至2026年8月，真正可用且不静默回退的国内镜像源仅四个：阿里云、清华大学、腾讯云、上海交大（SJTUG）；配置必须严格满足四项硬性条件——键名repo.packagist、type值为composer、URL以https://开头且以/结尾、加-g参数全局写入，否则自动fallback至packagist.org。
真正能用、不报错、不静默回退的国内镜像源，截至2026年8月，只剩四个：阿里云、清华大学、腾讯云、上海交大（SJTUG）。中科大和华为云部分场景可用，但存在同步延迟或路径兼容问题；其余如 phpcomposer.com、laravel-china.org 等均已停服或证书失效。
怎么配才不会静默失效
Composer 2.2+ 对配置格式极其敏感，写错任意一项就自动 fallback 到 https://packagist.org，且不提示。必须同时满足：
-
repo.packagist是唯一合法键名（不是repos.packagist、repository.packagist或packagist.org） - 命令中必须显式写出
composer这个 type 值（漏掉等于没配） - URL 必须以
https://开头，且以/结尾（https://mirrors.aliyun.com/composer/✅，少斜杠会拼成/composerpackages.json→ 404） - 必须加
-g参数写入全局配置（不加就是项目级，换目录即失效）
验证是否真在用镜像源
别信“配置成功”提示，只看三处输出是否一致：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer config -g repo.packagist，输出必须是完整 JSON 对象，例如：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 运行
composer diagnose，找到Repo:行，域名必须匹配你设的镜像（不是packagist.org） - 执行一次
composer require monolog/monolog -vvv 2>&1 | grep 'GET https'，日志里所有请求 URL 必须含mirrors.aliyun.com这类镜像域名
项目级配置为什么更可靠
全局配置在 CI/CD 或多用户环境（如宝塔面板用 www 用户执行）中极易被覆盖或权限拒绝。项目级配置直接写进 composer.json，拉代码即生效：
- 进项目根目录，运行：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（注意不加-g） - 该命令会自动向
composer.json的repositories字段追加packagist条目，不覆盖已有私有源 - 如果已有
"repositories": {}，别手动编辑 JSON——格式错一个逗号就会导致composer install报错 - 若
repositories是数组结构（比如已有私有仓库），需先确保首位是{"packagist.org": false}，否则 Composer 仍可能回退到官方源
换源后还是卡在 Resolving dependencies？和镜像无关
镜像只加速元数据拉取和 ZIP 包下载，不解决依赖解析阶段的卡顿。以下才是真实瓶颈：
-
Resolving dependencies卡住：大概率是 PHP 内存不足（默认 128M 不够），临时加COMPOSER_MEMORY_LIMIT=-1再试 - 启用了
xdebug：运行php -v看是否含xdebug，它会让解析慢 5–10 倍；临时禁用：php -d xdebug.mode=off $(which composer) install -
platform配置与实际 PHP 版本不匹配：比如"php": "7.4"却在 PHP 8.5.5 上运行，触发降级查找逻辑 -
composer.lock残留已下线包：删掉vendor/和composer.lock，再跑composer install --no-cache - 忘了清缓存：
composer clear-cache必须跟换源一起做，否则旧缓存里的packages.json还指向官方源
最常被忽略的一点：项目根目录下的 composer.json 中若有 repositories 字段，它会完全覆盖全局设置——哪怕只有一行，也会让 repo.packagist 配置彻底失效。
