403是镜像服务端明确拒绝请求，非代理未连通；需用curl -v -A "Composer/2.9.6"验证响应状态，检查UA拦截、IP限流或源已失效，并清理停服镜像、调低并发、正确配置GitHub Token及权限。
403 不是代理没连上，而是代理连上了、但镜像服务端明确拒绝了请求——常见于 UA 被拦截、IP 被限流、或源地址已失效。别急着改代理配置，先定位是哪一层在拦。
curl -v 模拟 Composer 请求确认真实状态
Composer 的 403 往往不是你本地网络问题，而是镜像服务端返回的硬性拒绝。用它自己的 User-Agent 去测最准：
curl -v -A "Composer/2.9.6" https://mirrors.aliyun.com/composer/packages.json
观察响应头和响应体：
- 如果返回
HTTP/1.1 403 Forbidden且响应体含Access Denied或为空 → 镜像服务端防火墙拦截（大概率 UA 被过滤或单 IP 并发超限） - 如果返回
HTTP/1.1 404 Not Found→ 当前镜像 URL 已下线（如仍指向packagist.phpcomposer.com） - 如果卡住或超时 → 代理本身不通，或代理转发后被中间设备 RST
检查并清理已失效的全局镜像源
很多 403 实际是“假 403”：你配了个早已关停的源，它根本不再响应任何请求。先查当前配置：
composer config -g repo.packagist
输出中若含以下任一地址，必须立刻删除：
-
https://packagist.phpcomposer.com（2022 年起停服） -
https://packagist.laravel-china.org（2023 年底关停）
删除命令：
composer config -g --unset repo.packagist
再设新源（注意末尾斜杠不能少）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
代理配对但镜像仍 403？可能是并发触发限流
阿里云、清华等镜像对单 IP 的并发连接数有限制。Composer 默认并发下载行为可能直接撞上限，返回 403 或 429。此时调低并发更有效：
composer config -g http-max-concurrent-downloads 6
注意：
-
parallel-downloads在 Composer 2.2+ 已废弃，不生效 - 该设置只在全局生效，
composer.json中的config字段不认这个键 - 值建议 6–12；设太高反而更容易被镜像识别为扫描行为
验证是否写入成功：
composer config -g http-max-concurrent-downloads 应输出 6，不是空行或 null
GitHub Token 没配对导致元数据拉取失败，伪装成 403
Composer 安装包时需两步：1）从镜像拉 provider 元数据；2）从 GitHub API 拉具体 commit 和 zip。后者走 api.github.com，不受镜像影响。若 Token 配错，Composer 会静默降级为匿名请求，高频触发 GitHub 限速，最终表现为卡在 Downloading 或报 403（实为 rate limit response）。
关键检查点：
- 域名必须是
github.com，不是api.github.com—— 正确命令：composer config --global github-oauth.github.com ghp_xxx - Token 必须勾选
repo和read:packages；复制时带空格或换行会导致失效 -
~/.composer/auth.json权限必须是600（Linux/macOS），否则 Composer 直接忽略该文件
验证命令：
composer config --global --list | grep github-oauth 应输出类似 "github.com": "ghp_"
真正麻烦的不是 403 本身，而是它可能来自四层不同位置：代理服务端、镜像服务端、GitHub API、甚至你本地的 auth.json 文件权限。每层都得单独验证，不能靠“重试”或“换源”蒙混过关。
