composer config --list 显示的是多层合并后的扁平化最终值，不标注来源、不保留嵌套结构、不区分数据类型，易导致误判；应查单个字段（如 composer config cache-dir）或用 --global/--file 分离查看。
Composer 读取配置不是“一次加载”，而是按需叠加：项目composer.json → 全局 config.json → 默认值，优先级逐级覆盖。直接看容易误判，尤其对嵌套字段和类型模糊的值。
为什么
显示的值不等于实际生效值
输出是扁平化键值对，比如
看似是个路径，实则对应 JSON 中的嵌套对象；
或
不带类型标识，无法区分是布尔还是字符串；含点号的仓库名（如
）可能被转义，导致显示与原始配置不一致。更关键的是，它混合了项目级和全局级配置，但不标明来源——你看到的
可能来自全局，而
来自项目，肉眼无法拆解。
建议做法：
查单个字段用
（项目级）或
（全局级），比扫屏更准
查仓库列表用
，直接输出数组结构，避免点号路径误导
调试 CI/CD 时，优先用
快速定位关键路径
修改的是哪个文件？
不加
时，所有写入操作都改当前项目的
文件里的
字段；加了才写入全局
（Windows 是
）。这个区别决定配置是否跨项目生效。
常见踩坑点：
Composer 2.9.6
Composer 2.9.6 是 PHP 生态中高效、稳定的依赖管理工具。此版本在性能与兼容性上进一步优化，改进了依赖解析算法，提升大型项目中的安装与更新速度。它支持并行下载任务，显著减少等待时间，并增强了与私有仓库及镜像源的交互稳定性。同时修复了多项命令行交互与内存使用相关的缺陷，确保在复杂依赖关系下依然可靠运行。无论是新项目初始化还是现有系统维护，Composer 2.9.6 都能为开发者提供流畅、精准的依赖管理体验。
下载
（没加
）→ 写进项目 composer.json，完全无效，GitHub 认证只认全局配置
→ 这个 key 已废弃，新版应改用
，否则静默失败
只写配置，不创建
目录，后续
才会尝试建，若父目录不可写就报错
哪些配置项只在全局/项目级生效？
不是所有配置都支持双模式。有些字段设计上就限定作用域：
全局专属：
、
、
（私有源凭据）——项目级设了也忽略
项目专属：
、
、
—— 全局设了不生效，必须写进项目 composer.json
两者都可，但行为不同：
全局设的是默认值，项目级可覆盖；
全局设影响所有项目缓存位置，项目级设无效
判断依据很简单：运行
和
对比输出，只出现在其中一个里的，就是作用域受限项。
想看清真实配置结构，别只信
是快速扫描工具，不是配置审查工具。它不还原 JSON 层级，也不校验语法合法性。真正需要确认结构时，应该：
直接打开
或
人工核对
用
（Linux/macOS，需装
）格式化查看全局配置
对敏感配置（如 token、私有源地址），优先用
并确保该文件权限为
，避免被其他用户读取
最常被忽略的一点：修改配置后，Composer 不会预校验是否合法。比如把
设成
（字符串）而非
（布尔），命令能执行成功，但后续请求可能仍走 HTTPS，问题要到
报错时才暴露。
composer config --listcomposer config --listrepositories.packagist.org.typetruenullrepos.my.companycache-dirvendor-dircomposer config cache-dircomposer config --global cache-dircomposer config repositoriescomposer config --global --list | grep -E "(cache-dir|home)"composer config--globalcomposer.jsonconfig~/.composer/config.json%APPDATA%\Composer\config.jsoncomposer config github-oauth.github.com token--globalcomposer config repo.packagist composer https://mirrors.aliyun.com/composer/repos.packagist.orgcomposer config bin-dir ./bin./bincomposer installgithub-oauthgitlab-tokenhttp-basicsort-packagespreferred-installallow-pluginsprocess-timeoutcache-dircomposer config --listcomposer config --global --list--listcomposer config --listcomposer.json~/.composer/config.jsoncat ~/.composer/config.json | jq '.'jq--global600secure-http"false"falsecomposer update