composer.lock本身不下载，它是本地依赖快照；报错“Failed to download composer.lock”是误导，实际失败于远程元数据或包ZIP获取、镜像失效、缓存损坏或权限问题。
直接说结论：composer.lock 本身不“下载”，它是个本地锁文件；所谓“无法下载”其实是 composer install 过程中因镜像失效、缓存损坏或权限错乱，导致 Composer 无法从远程源拉取 packages.json 或包 ZIP，进而卡在解析/锁定阶段——问题不在 composer.lock，而在它依赖的上游数据流。
为什么报错里总出现 “Failed to download composer.lock”？
这是误导性错误信息。Composer 不会去下载项目根目录下的 composer.lock，它只读取本地该文件来确定要装哪些版本。真正失败的是：
- 读取镜像的
packages.json（元数据索引）时超时或 404 - 根据
composer.lock里的dist.url下载 ZIP 包时失败（比如 URL 还指向已下线的packagist.laravel-china.org） -
composer.lock被手动编辑过，哈希校验不通过，触发重解析 → 又回到第一步联网失败
所以看到这个报错，别急着删 composer.lock，先看 composer install -vvv 日志里第一行 Downloading 的实际域名。
备用下载源切换必须满足三个硬条件
国内镜像不是设了就生效，composer config -g repo.packagist 静默失效是常态。必须同时满足：
-
repo.packagist（注意是单数，不是repos或repositories） -
type值显式写为"composer"（不能省略） -
url是 HTTPS 且结尾带/（例如https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌）
验证是否真生效，只看这一条命令输出：composer config -g repo.packagist。正确结果必须是完整 JSON：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}。空、null、或报错，都说明没配进去。
当前可用的稳定备用源（2026年10月实测）
阿里云镜像已返回 404，Laravel China 和 PHPComponer 镜像均已下线。目前仅两个可直接用：
- 中科大镜像：
https://packagist.mirrors.ustc.edu.cn/（同步快，HTTP/2 支持好） - 腾讯镜像：
https://mirrors.cloud.tencent.com/composer/（华南延迟低，私有源兼容强）
全局切换命令（以中科大为例）：composer config -g repo.packagist composer https://packagist.mirrors.ustc.edu.cn/。切完立刻执行 composer clear-cache，否则旧缓存会继续走原地址。
换源后仍卡住？优先检查这三件事
换镜像只是第一步，以下问题不解决，照样失败：
-
composer clear-cache—— 缓存里可能存着损坏的 ZIP 或过期的packages.json，不清理会一直复用 -
php -m | grep openssl—— 若无输出，OpenSSL 扩展未启用，HTTPS 下载必然静默失败 - 检查项目级
composer.json是否含"repositories"字段 —— 它会完全覆盖全局配置，哪怕只是空数组[]
最易被忽略的是：CI 环境（GitHub Actions / GitLab CI）根本不读你的 ~/.composer/config.json，必须在脚本里显式执行 composer config -g repo.packagist ... 才算数。
