Composer镜像基础配置规范_适合新手的指南

Composer 配镜像这件事，很多人以为把镜像地址一贴就完事了。其实有个大坑：Composer 2.x+ 对键名非常严格，多一个字母都不认账——你写成 repos.packagist（多一个 s）或者 mirror，配置就直接被忽略，而且不报错。真正关键的，是键名必须是 repo.packagist，并且要显式指定 composer 作为 type 值。顺带说一句，镜像 URL 最后一定记得加斜杠，比如 https://mirrors.aliyun.com/composer/，少一个斜杠请求路径就会拼错，给你返个 404。

验证配置是否生效也简单：跑一下 composer config -g repo.packagist，如果输出是一段完整的 JSON 对象，那就对了；要是输出空或者 null，说明哪里写错了，赶紧查一查。

配镜像不是改个 URL 就完事，不按规范写，Composer 会直接忽略配置、继续连 packagist.org，甚至静默失败。

项目级配置：位置和顺序，错一个都不行

项目级镜像只影响当前项目，但它的生效条件更苛刻。首先，必须写在项目根目录下的 composer.json 里，写进 composer.lock 或全局 config.json 都完全没用。其次，必须以 "type": "composer" 的仓库对象形式，放在 repositories 数组的第一个位置。最关键的一步：必须显式禁用官方源，也就是要在 repositories 数组里单独放一个 {"packagist.org": false} 对象，不能把它合并到前一个镜像配置里，否则 Composer 还是会偷偷 fallback 回官方源。

很多人会写错一个地方：直接手写成 "repositories": {"packagist": {"type": "composer", "url": "..."}}——注意，这是对象写法，不是数组，而且没禁用 packagist.org，Composer 会直接忽略你。正确的结构，可以参照清华镜像那一段的 JSON 示例。

配置改对了，但 Composer 还是不听话？

这是一个非常常见的误区：你改了 composer.json 里的镜像源，然后直接跑 composer install或 composer update，结果发现根本没走镜像。为什么？因为 Composer 不会“重新解析”已经存在的 composer.lock 文件。它照着 lock 文件里的 dist URL 直接下载，根本不管你 repositories 里配了什么。

说白了，只跑 composer update 没用，它可能沿用旧 lock 里的官方 URL，你的镜像配置形同虚设。正确的做法是：先手动删掉 vendor/ 目录和 composer.lock 文件，再重新执行 composer install。在 CI/CD 环境中尤其要注意，如果缓存了旧的 composer.lock，流水线就会持续走错源。所以，要么清缓存，要么在流水线脚本里加一步 rm -rf vendor composer.lock。

为什么明明配了镜像，它还是去连 packagist.org？

即使你写对了镜像 URL，Composer 默认情况下在镜像查不到包时，还会自动 fallback 到 packagist.org。这在网络受限的 CI 环境里，极易引起超时或失败。所以，{"packagist.org": false} 这一行必须存在，并且必须是 repositories 数组里的一个独立对象。另外，一些镜像源（比如腾讯云）同步有延迟，如果新发布的包还没同步过来，你又禁用了官方源，就会报 Could not find package xxx 的错误。

临时排查时，可以用 composer install -vvv --repository-url=https://mirrors.tuna.tsinghua.edu.cn/composer/ 这条命令，加上 -vvv 才能看到真实的请求域名，方便定位问题。还有一个最容易被忽略的细节：如果项目里已经有 repositories 字段（比如用了私有包源），直接手写覆盖会删掉原有配置。应该用 composer config repo.packagist composer ...（注意不带 -g 参数），让 Composer 自动帮你把新配置合并进去。