Composer安全连接不稳定主因是DNS解析、IPv6 fallback、CA证书过期或镜像URL末尾缺斜杠；应先用curl -v验证链路，升级CA证书、设COMPOSER_IPRESOLVE=4、确保镜像URL含末尾/，而非禁用secure-http。
Composer 安全连接不稳定，90% 不是 TLS 本身的问题，而是系统卡在 DNS 解析、IPv6 fallback、CA 证书过期或镜像 URL 拼接错误这几层——别急着关 disable-tls，先验证链路是否真通。
curl -v https://packagist.org 看清卡在哪一步
这是最快定位 TLS 问题的方式。重点观察三处输出：
-
Connected to packagist.org (2a03:2880:...)→ IPv6 地址连上但后续无响应，说明 IPv6 fallback 超时（默认 1–3 秒），叠加上百个包就是几分钟白等 -
* SSL certificate problem: unable to get local issuer certificate→ 系统 CA 证书库太旧，尤其 CentOS 6、Debian 9 或某些 CI 镜像里ca-certificates未更新 -
* TLSv1.3 (IN), TLS handshake卡住不动 → 杀软/防火墙做了 HTTPS 中间人扫描，或代理强制重签证书，curl能通但 Composer 静默超时
composer config -g secure-http false 是危险操作
它只是让 Composer 忽略 HTTPS 强制策略，不解决根本问题，且新版 Composer（≥2.2）会拒绝加载 http:// 镜像源。真正该做的是：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 升级 CA 证书：
sudo update-ca-certificates（Debian/Ubuntu）或sudo yum update ca-certificates（RHEL/CentOS） - 临时验证是否为证书问题：
curl -k -I https://mirrors.aliyun.com/composer/packages.json；若返回 200，说明证书是瓶颈 - CI/CD 中可信内网可配：
composer config -g secure-http false+composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，但必须确保镜像源本身用的是可信证书（阿里云/华为云均用 GlobalSign，兼容性好）
镜像 URL 少一个 / 就导致 TLS 握手后 404
Composer 会把镜像地址拼成 https://mirrors.aliyun.com/composer//packages.json（注意双斜杠），服务器返回 404，但错误日志里不体现路径拼错，只显示 “could not be downloaded”。验证方法：
- 手动请求看是否真通：
curl -I https://mirrors.aliyun.com/composer/packages.json→ 必须返回HTTP/2 200 - 检查配置是否写对：
composer config -g repo.packagist输出必须是完整 JSON：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}（末尾/缺一不可） - 清华源已停用，腾讯源同步延迟高，2026 年实测稳定可用的只剩阿里云和华为云：
https://mirrors.aliyun.com/composer/或https://mirrors.huaweicloud.com/repository/php/
IPv6 fallback 导致“没报错却卡死”最隐蔽
Composer 默认优先尝试 IPv6 地址，超时再退到 IPv4。国内多数网络 IPv6 不通但不报错，单次 fallback 延迟 1–3 秒，装 50 个包就多耗 2 分钟。解决方案极简：
- 全局强制 IPv4：
export COMPOSER_IPRESOLVE=4（加到~/.bashrc或 CI 脚本开头） - 验证生效：运行
composer install -vvv，看日志里Connecting to后面是否只出现 IPv4 地址（如114.114.114.114） - 不推荐禁用 IPv6 系统级设置，影响其他工具；Composer 自带的
COMPOSER_IPRESOLVE是最干净的解法
安全连接不稳定，本质是 TLS 握手被干扰，而不是加密本身有问题。最容易被忽略的是镜像 URL 末尾斜杠缺失和系统 CA 证书陈旧——这两项不修复，调任何 timeout 都是徒劳。
