Composer报404主因是源配置错误、缓存锁死失效URL或SSL证书过期；应先用composer config -g repo.packagist查源，换有效镜像（如清华源），清缓存、删vendor与lock后重装，并验证CA证书。
Composer 报 404，90% 不是包名写错，而是它根本没在你当前连的源里找到那个包——可能是镜像已下线、私有仓库没配 type、缓存锁死了失效 URL，或证书校验失败后被误判成 404。
怎么看当前用的是哪个源？
别猜，直接查配置。运行
，输出类似
就是问题根源：这个地址自 2022 年起已返回 404，必须换掉。
清华源（推荐）：
阿里云源（注意末尾斜杠）：
切回官方源验证（需境外网络）：
改完立刻执行
确认输出已更新，不是
或旧地址。
怎么确认是包真不存在，还是源没同步？
用
（比如
），如果返回空或 “Package not found”，说明当前源里压根没这个包。
Composer 2.9.6
Composer 2.9.6 是 PHP 生态中高效、稳定的依赖管理工具。此版本在性能与兼容性上进一步优化，改进了依赖解析算法，提升大型项目中的安装与更新速度。它支持并行下载任务，显著减少等待时间，并增强了与私有仓库及镜像源的交互稳定性。同时修复了多项命令行交互与内存使用相关的缺陷，确保在复杂依赖关系下依然可靠运行。无论是新项目初始化还是现有系统维护，Composer 2.9.6 都能为开发者提供流畅、精准的依赖管理体验。
下载
打开浏览器访问
，看网页是否能打开、版本列表是否包含你要的版本（注意大小写）
如果是私有 Git 包，
必定为空——它只查 Packagist 公库，不查你本地
镜像不代理私有源，
里的
地址出 404，和镜像无关，得单独排查 Git 服务本身
为什么清了缓存、换了源还是 404？
因为
里存的是原始下载地址（比如 GitHub API 的 URL），不是镜像地址。一旦锁文件里记了一个已失效的 provider 路径，换源也白搭。
第一步永远是
删掉
和
（尤其 lock 文件）
再跑
，不要用
—— 它会复用 lock 里可能已坏的元数据
如果用了自定义
，逐个注释掉，确认是不是其中某个 URL 返回 404
SSL 证书过期也会伪装成 404
PHP cURL 握手失败时，Composer 常把空响应误报为 404 或 500。运行
查看
路径，检查该 PEM 文件是否存在、最后修改时间是否早于 2023 年。
临时验证：设
，再试一次；若成功，就是证书问题
生产环境必须修复：更新系统 CA 包，或把新 PEM 路径写进
的
和
Docker 用户注意：alpine 镜像默认不带完整 CA，需
并确保
可读
最常被忽略的是
里埋的失效 URL 和 OpenSSL 证书陈旧——这两处不处理，换十次镜像都没用。
composer config -g repo.packagist{"url":"https://packagist.phpcomposer.com"}composer config -g repo.packagist composer https://packagist.proxy.fly.devcomposer config -g repo.packagist composer https://mirrors.aliyun.com/composer/composer config -g repo.packagist composer https://repo.packagist.orgcomposer config -g repo.packagistnullcomposer show -p vendor/namecomposer show -p monolog/monologhttps://packagist.org/packages/vendor/namecomposer show -prepositoriesrepositoriestype: vcscomposer.lockcomposer clear-cachevendor/composer.lockcomposer installupdaterepositoriesphp -r "print_r(openssl_get_cert_locations());"default_cert_filecomposer config -g secure-http falsephp.inicurl.cainfoopenssl.cafileapk add ca-certificates/etc/ssl/certs/ca-certificates.crtcomposer.lock