composer config 是改源的唯一可靠方式：项目级改 repositories 字段，全局换源必须用 composer config -g 命令；阿里云镜像地址为 https://mirrors.aliyun.com/composer/，需配 dist 映射并验证日志请求域名。
composer config 是改源的唯一可靠方式
直接改 composer.json 里的 repositories 字段，只对当前项目生效；全局换源必须用 composer config 命令写入用户级配置。阿里云镜像地址是 https://mirrors.aliyun.com/composer/，不是 http，也不是带 /dist 后缀的路径——写错就完全不走镜像。
-
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（推荐，覆盖默认 packagist） - 如果已手动加过其他源，先运行
composer config -g --unset repos.packagist清掉旧配置再重设 - 执行后检查是否生效：
composer config -g repo.packagist应该输出上面那个 HTTPS 地址
换源后 update 还走官方服务器？看 network 日志
换源成功但下载慢或报 404，大概率是 Composer 没真正用上镜像——它会优先从 dist 下载压缩包，而阿里云镜像的 dist 地址和主源不同，需要额外配置。不配的话，require 或 update 时元数据走阿里云，但实际 zip 包仍从 github.com 或 packagist.org 拉。
- 补上 dist 镜像：
composer config -g repos.packagist.type composer（确保类型是 composer） - 阿里云已自动处理 dist 映射，但前提是没在
composer.json里硬编码dist-url，删掉项目中任何"dist-url"字段 - 验证方法：运行
composer update -vvv，看日志里Downloading http://...的域名是不是mirrors.aliyun.com
公司内网或 CI 环境下阿里源失效的常见原因
阿里云镜像依赖 DNS 解析和 HTTPS 证书链，内网环境常卡在这两步。不是“换源没用”，而是请求根本没发出去。
- 先测连通性：
curl -I https://mirrors.aliyun.com/composer/packages.json，返回 200 才算通 - 如果 curl 报
ssl certificate problem，说明系统 CA 证书过旧，要更新ca-certificates包，不是 Composer 本身的问题 - 某些代理会拦截并重写 HTTPS 响应头，导致 Composer 解析元数据失败，此时需在
composer config -g http-proxy中显式配置代理，而非依赖系统环境变量
换源后 vendor/autoload.php 不加载？别动 autoload 配置
换镜像源只影响包下载，不影响自动加载逻辑。如果换源后跑不起来，90% 是因为之前用的包版本在阿里镜像中延迟同步，或者你本地 vendor 混了不同源拉下来的包。
- 不要手动删
vendor后只跑composer install——它会按composer.lock里的 hash 去镜像找，而旧 lock 可能指向已下线的 dist URL - 稳妥做法：
rm -rf vendor composer.lock && composer install，强制全量走新源重建 - 阿里云镜像同步有最多 5 分钟延迟，如果某个包刚发布就立刻 require，可能暂时 404，等会儿再试或临时切回官方源
镜像不是魔法开关，它只加速下载环节；一旦涉及网络策略、证书、缓存一致性这些底层细节，问题就会藏得比较深。特别是多环境部署时，别只信“配置写完了”，一定要用 -vvv 看真实请求地址。