卡在Downloading https://时应调http.timeout参数，该参数控制DNS解析、TLS握手、首字节等待及整个body传输的总时间，默认300秒，弱网下易超时，需同步调高PHP的default_socket_timeout。
卡在Downloading https:// 时该调 http.timeout
这是 HTTP 请求阶段卡住，比如拉 packages.json、下载 ZIP 包，错误里常带 cURL error 28 或反复 retry 后失败。它不看 process-timeout，只认 http.timeout（Composer 2.x）。
http.timeout 控制 DNS 解析 + TLS 握手 + 首字节等待 + 整个 body 传输的总时间，单位秒，默认仅 300（5 分钟），弱网下极易触发。常见于国内 DNS 慢、代理握手卡顿、或镜像响应延迟。
- 项目级最稳：运行
composer config http.timeout 600，写入当前composer.json的config段，可提交、可复现 - 全局生效：用
composer config -g http.timeout 600，写入~/.composer/config.json - 临时覆盖优先级最高：
COMPOSER_HTTP_TIMEOUT=1200 composer install，适合 CI 调试 - 注意：
php -i | grep default_socket_timeout查出的 PHP CLIdefault_socket_timeout若低于你设的http.timeout（常见值是 60），会提前掐断连接——务必同步调高
报 “The process timed out” 该调 process-timeout
这是子进程执行太久被杀，比如 git clone、unzip、跑 post-install-cmd 脚本。错误里一定含 [RuntimeException] The process "" exceeded the timeout，加 -vvv 可看到最后那条命令。
process-timeout 控制单个外部命令最大执行时间，单位秒，默认 300，和 HTTP 完全无关。
- 全局改：运行
composer config -g process-timeout 1800（30 分钟），写入~/.composer/config.json - 项目级改：直接在
composer.json顶层加"config": {"process-timeout": 1200} - 临时覆盖：用
COMPOSER_PROCESS_TIMEOUT=1800 composer install或命令行参数--process-timeout=1800 - 该值设为 0 表示禁用超时，但可能卡死无响应；调试建议先设 600，确认能走通再调高
配了代理还卡在 Loading composer repositories？检查 https-proxy 是否漏配
只配 http-proxy 一定失败。Composer 对 HTTP 和 HTTPS 请求走完全不同的代理路径：所有仓库（Packagist、GitHub API、镜像源）全量走 HTTPS，必须走 https-proxy 字段发起 CONNECT 隧道。漏掉就等于让 HTTPS 请求 fallback 到直连，结果就是卡在 Loading composer repositories 或反复报 cURL error 28，却无明确错误提示。
-
https-proxy的值协议头必须是http://，哪怕你的代理监听的是 HTTPS 端口。例如：http://127.0.0.1:7890 - 带认证的写法：
http://user:pa%40ss%2Fword@127.0.0.1:8080（密码含@或/必须 URL 编码） - 验证是否生效：
composer config -g --list | grep -E "(http|https)-proxy"，必须看到两行且格式合规 - NTLM 代理（如公司 Windows 域环境）需用 cntlm 或 px 中转，再把
http-proxy和https-proxy都指向中转地址
换镜像源比调 timeout 更治本，但别直接覆盖 repo.packagist
国内用户优先配置阿里云或腾讯云镜像。但直接运行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 会丢失 Packagist 官方签名字段，导致 security.signature-verification 自动失效。
- 正确做法是保留官方源结构，仅代理元数据请求：
composer config -g repos.packagist.type composercomposer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 验证是否生效：
composer diagnose应同时显示secure-http: OK和signature verification: OK - 镜像只加速公共包元数据和 ZIP 下载，对
git@或https://github.com/xxx类私有 VCS 包无效，这类仍需单独优化process-timeout或代理 - 若项目已存在
vendor/，先删掉再composer install；镜像不会加速已有包的 autoload 生成
真正容易被忽略的是 PHP 层的 default_socket_timeout 和 Composer 的 http.timeout 不一致——前者若更小，就会在底层直接掐断连接，所有 Composer 配置都白设。每次调高 http.timeout 前，务必先确认这个值。
