Composer不支持源白名单，仅通过repositories配置自定义源且默认不禁用官方源；需显式添加{"packagist.org": false}并清除缓存、重装依赖才能生效。

Composer安装源白名单配置的常见问题

Composer 不支持“源白名单”，只支持 repositories 配置（即自定义源列表），且它默认**不校验或限制源的合法性**——你加多少个源，它都照用；所谓“白名单”是误传，真正有白名单机制的是插件（allow-plugins），不是源。

为什么改了 repositories 还走默认源？

常见现象：在 composer.json 里写了阿里云镜像，但 composer install 仍从 packagist.org 下载包，甚至报 404 或超时。

• 没加 "packagist.org": false —— 即使你加了自定义源，Composer 默认仍启用官方源，且优先级更高；必须显式禁用官方源才能生效
• 配置位置错：把 repositories 写在了全局 ~/.composer/config.json 里，但项目级 composer.json 中也定义了 repositories，后者会完全覆盖前者（Composer 不合并，而是替换）
• 用了错误的 URL 格式：比如写成 https://mirrors.aliyun.com/composer（缺末尾斜杠）或 http://（非 HTTPS，新版 Composer 默认拒绝）
• 缓存未清：改完配置后没运行 composer clear-cache，旧索引还在用

如何安全切换国内镜像源？

推荐直接在项目级 composer.json 中声明，避免全局污染和 CI 环境不可控：

Academic Composer Upload

辅助学术写作，包括查找资料、生成大纲、引用扩写及润色风格，同时确保引用规范。

下载

{
    "repositories": [
        {
            "type": "composer",
            "url": "https://mirrors.aliyun.com/composer/"
        },
        {
            "packagist.org": false
        }
    ]
}

注意点：

• "packagist.org": false 必须作为独立对象放在数组里，不能合并进前面的对象
• 不要加注释（JSON 不支持），也不要多加空格或换行破坏格式
• 如果项目依赖私有包，需把私有源放在这组配置的最前面，因为 Composer 按顺序查找包
• 验证是否生效：运行 composer config --list | grep repositories，或看 composer install -v 输出中实际请求的 URL

为什么某些包还是从 packagist.org 安装？

即使配置了镜像源并禁用了 packagist.org，仍可能看到部分包走原始源，原因通常是：

• 该包被其他已安装依赖的 composer.json 声明为 repositories，而 Composer 会递归合并（仅限于 type: package 的静态定义，不适用于 type: composer 镜像）
• 使用了 composer global require 安装的工具类包（如 laravel/installer），它们读取的是全局配置，而非当前项目配置
• composer.lock 文件里已锁定包的 dist URL 是 packagist.org 的地址，Composer 会直接复用——此时需删掉 composer.lock 和 vendor/ 后重装
• 某些包在 composer.json 中显式指定了 dist.url，绕过了源配置逻辑

最易被忽略的是：镜像源只影响元数据（packages.json）拉取，不影响 dist 包的实际下载地址；如果 lock 文件里记录的是原始 CDN 地址，哪怕源换了，下载仍走老路径。要彻底切换，得清锁重装。