composer config --global是唯一安全的全局配置方式，手动修改配置文件易因JSON错误导致静默失败；必须加--global参数，值含空格需用英文双引号包裹，嵌套键须分步设置，仅环境强相关项如cache-dir、github-oauth.github.com等支持全局生效，改后须清理缓存并检查环境变量干扰。
composer config --global 是唯一安全的全局修改入口
手改 ~/.composer/config.json（Linux/macOS）或 %APPDATA%\Composer\config.json（Windows）极容易因 JSON 格式错误（比如漏逗号、引号不闭合）导致后续所有 composer 命令静默失败，报错却指向完全无关的位置。命令行方式由 Composer 自动校验结构，写入前还会做键名合法性检查。
必须显式加 --global（或简写 -g），漏掉就直接写进当前项目的 composer.json，轻则 vendor 安装异常，重则 CI 流水线批量报错。
值含空格或特殊字符时，务必用英文双引号包裹，例如：composer config --global cache-dir "/data/composer-cache"。不加引号会导致空格后的内容被截断为独立参数，命令看似执行成功，实际只设了前半段。
嵌套键必须分步设置，不能传 JSON 字符串
composer config 不接受 JSON 字符串作为值，只认结构化键路径。像自定义仓库这种带层级的配置，repos.myrepo.type 和 repos.myrepo.url 必须拆成两条命令：
composer config --global repos.myrepo.type "composer"composer config --global repos.myrepo.url "https://example.com"
同理，修改 github-oauth.github.com 这类带点的键，也必须完整写出，不能省略域名部分；github-oauth 单独设无效。
如果强行写成 composer config --global repos.myrepo '{"type":"composer","url":"https://example.com"}'，Composer 会拒绝解析并报错。
哪些键能全局生效，哪些写了也白设
全局配置只对「环境强相关、项目无关」的项生效。语义型或契约型配置根本不会被读取：
- ✅ 推荐全局设：
repo.packagist（镜像源）、cache-dir、github-oauth.github.com、store-auths - ❌ 绝对不要碰：
autoload、require、minimum-stability、scripts——它们属于项目级契约，全局配置里写了也无视 - ⚠️ 认证类配置（如
http-basic、github-oauth）是合并行为，不是覆盖：全局配一个 GitLab，项目里再加个 Nexus，两者都会生效
特别注意：github-oauth 类配置只在全局生效，项目级设了也无效；而 vendor-dir 这类路径配置，默认只作用于当前项目，除非你显式加 --global 并确认该路径对所有项目都适用。
改完不清理缓存和环境变量，等于没改
全局配置只是决策链的一环。Composer 查源顺序是：环境变量 > 项目级 composer.json 中的 repositories > 全局 repo.packagist。只改最后一层，前面两层仍可能劫持请求：
- 查环境变量：
env | grep COMPOSER_REPO_PACKAGIST（Linux/macOS）或echo %COMPOSER_REPO_PACKAGIST%（Windows），非空必须unset COMPOSER_REPO_* - 清 Composer 缓存：
composer clear-cache - 验证是否生效：
composer config --list --global，确认目标键值已更新
最容易被忽略的是环境变量干扰——哪怕你把 repo.packagist 改成了阿里云镜像，只要 COMPOSER_REPO_PACKAGIST 环境变量还存在，它就会优先被使用。
