Composer不拦截代理行为，安全问题源于企业防火墙或WAF对HTTPS流量的中间人干预；配代理后报Connection refused或TLS handshake timeout，主因是SSL解密网关篡改证书链或未导入企业根证书，且https-proxy必须以http://开头，否则被忽略。
Composer 本身不拦截、也不校验代理行为是否安全——它只是老老实实按你配的 http-proxy 和 https-proxy 发请求。所谓“安全代理拦截”，其实是企业防火墙或 WAF 在代理链路中主动干预 HTTPS 流量，导致 Composer 请求被静默丢弃、重定向或证书校验失败。
为什么配了代理还报 Connection refused 或 TLS handshake timeout
根本不是 Composer 没走代理，而是代理后的流量被中间设备（如透明代理、SSL 解密网关）卡在 TLS 握手阶段。这类问题有明确信号：
-
cURL error 35或日志卡在* TLS handshake→ 说明证书链被篡改或不被信任 - 浏览器能打开
https://mirrors.aliyun.com/composer/，但curl -vI报SSL certificate problem→ 本地未导入企业根证书 - 换手机热点立刻正常 → 原网络存在强制 HTTPS 中间人代理
临时验证方法：curl -v --proxy http://127.0.0.1:8080 https://packagist.org/packages.json，看是否卡在 CONNECT 或返回 407/502。
https-proxy 必须是 http:// 协议，填错就等于没配
Composer 对代理协议有硬性约定：https-proxy 字段值必须以 http:// 开头，哪怕你的代理服务监听的是 TLS 端口（比如 Squid + SSL bump）。填成 https://127.0.0.1:8080 或漏掉协议头，会导致 Composer 完全忽略该配置，所有 HTTPS 请求 fallback 到直连，最终表现为超时或连接拒绝。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确写法：
http://user:pass@127.0.0.1:8080（密码含@、/等需rawurlencode） - NTLM 代理无法原生支持 → 必须用
cntlm或px做本地中转，再让 Composer 连http://127.0.0.1:3128 - Windows 用户注意：
%APPDATA%\Composer\config.json目录需有写权限，否则composer config -g失败却不报错
WAF 拦截镜像请求的典型表现和绕过方式
很多企业 WAF（如雷池、PHPWAF、Azure WAF）会基于 User-Agent、请求路径或 Referer 拦截 Composer 流量，现象是 composer install 卡在某个包、返回 403，但手动 curl 同 URL 却能通。
- 验证是否 WAF：执行
curl -v https://mirrors.tuna.tsinghua.edu.cn/composer/packages.json 2>&1 | grep "X-Powered-By-WAF\|X-Firewall" - 绕过关键点：
"user-agent": "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36"（写进项目composer.json的config字段） - 禁用并行下载降低触发频率：
composer config -g parallel-downloads 1 - 确保镜像 URL 以
/结尾，否则 Composer 可能拼出/composerpackages.json被 WAF 当作路径遍历拦截
安全策略插件与代理行为的隐式冲突
启用 composer-policy-plugin 等合规插件后，它可能在校验阶段发起额外 HTTP 请求（比如查许可证 SPDX、拉取 CVE 数据），这些请求默认不走你配的代理，而是直连 GitHub 或 packagist.org —— 如果网络策略只放行代理出口，就会导致插件校验失败，报 Package rejected by policy。
- 插件自身不读
http-proxy配置，需单独为其设置环境变量：export HTTP_PROXY=http://127.0.0.1:8080（部分插件支持） - 更稳妥做法：在插件配置中显式指定可信源域名白名单，并关闭对非镜像源的元数据拉取
- 临时诊断可用
composer install --no-plugins，但生产环境禁用——这会绕过所有策略检查
真正难处理的不是配置本身，而是那些不暴露错误、只静默降级的行为：比如证书校验失败后 fallback 到 HTTP、WAF 拦截后返回空响应、代理认证失败却假装连接成功。排查时永远先信 curl -v，别信 Composer 日志里的“Loading…”提示。
