简化多环境配置：使用Composer全局与局部配置优先级策略

为什么 `composer.json` 里的 `config` 一写就失效全局设置

Composer 的配置模型非常明确：项目根目录的 `composer.json` 中的 `"config"` 字段，对任何同名键——比如 `bin-dir`、`cache-dir`、`process-timeout` 等等，都是整块覆盖。一旦项目里定义了这个键，全局的对应键就成了摆设。 实践中，这会导致一些很让人头疼的“灵异事件”： * 你执行 `composer dump-autoload` 后，发现 `vendor/bin` 下空空如也。你明明检查了 `composer.json` 有 `"bin"` 声明，那问题多半就是 `bin-dir` 被项目本地的 `config` 覆盖成了错误的路径。 * 在 CI 环境中，明明全局设好了 `process-timeout` 为 600 秒，但命令还是超时了。很可能是因为项目 `composer.json` 里显式地写了 `"process-timeout": 300`，它把全局的 600 秒给覆盖了。 * 你体贴地改了全局的 `cache-dir`，想让缓存集中管理，可某些项目还是固执地往 `~/.composer/cache` 里写。不用怀疑，就是那些项目自己的 `composer.json` 里写死了 `cache-dir`。

`repositories` 顺序才是真正的“优先级开关”

和 `config` 那种粗暴的“完全覆盖”不同，`repositories` 是另一种玩法。Composer 按照数组顺序从上到下逐个尝试匹配包名，一旦在某个仓库找到有效的元数据，就立刻停止搜索，不再往下看。这个“顺序优先”的机制，才是我们真正能利用的“多环境分流”利器。 这里有几条实操建议： * **私有包必须放在 `repositories` 数组最前面**。否则，一旦 packagist 镜像里有个同名但不同版本的公共包，它就会把你的私有包给“截胡”了。 * **如果你想禁用官方源，必须显式声明 `"packagist": false`**。否则，即使你把镜像放在第一位，Composer 最后还是会 fallback 回 packagist.org 去查询。 * **全局配置只用来放镜像源**：`composer config --global repos.packagist https://mirrors.aliyun.com/composer/`。**项目里才加私有仓库**：`composer config repositories.my-private '{"type":"composer","url":"https://pkg.internal"}'`。并且要确保项目 `composer.json` 里 `repositories` 这个数组的顺序是：私仓在前，镜像在后。 * **千万别在全局 `config.json` 里写 `repositories` 数组**。因为项目 `composer.json` 里如果也写 `repositories`，它会完全替换全局的数组，根本起不到所谓的“兜底”作用。

如何让 CI 或临时环境绕过项目 `config` 又不破坏逻辑

有些场景下，比如在 CI 服务器上，我们确实想强制使用全局的 `bin-dir` 或统一的 `cache-dir`，但又不能去改项目源码里的 `composer.json`，那该怎么办？直接删配置或手改 JSON 显然不靠谱。 这里有几个相对安全的做法： * **调试用**：运行 `COMPOSER=/dev/null composer install`。这会跳过所有项目配置，但问题在于，它也会丢掉 `autoload` 和 `scripts` 等关键信息。这个命令只适合用来纯调试 `config` 字段本身。 * **更稳妥的方法是创建一个极小化的配置文件**，比如 `ci-composer.json`，里面就只放你需要强制覆盖的配置： ```json { "config": { "bin-dir": "~/.local/bin", "cache-dir": "/tmp/composer-cache" } } ``` 然后执行 `COMPOSER=ci-composer.json composer install`。这样，你只是用这个临时文件替换了项目的 `composer.json`，对项目本身没有任何修改。 * **还有一个坚决不能碰的禁区**：千万别在 CI 里用 `composer config --unset` 来删除项目里的 `config` 键。这会让 Git 历史变得一团糟，影响所有协作成员，而且下次 `composer update` 时，Composer 还会自作主张地把它重新写回去。 最后，有两个非常容易忽略的细节：一是 Composer 对 JSON 格式零容忍，手改 `config.json` 时多了一个逗号，所有命令都会报 `file_get_contents(): Failed to open stream`。二是 `repositories` 的顺序问题，它是“静默”的——包能装上去，但版本可能不对，这个问题等到运行时才会暴露出来，隐蔽性极高。