composer config –list 显示的是分层合并后的最终生效配置，而非仅项目 composer.json 内容；优先级为命令行参数 > 环境变量 > 项目配置 > 全局配置 > 默认值，故常与 composer.json 不一致。
composer config --list 是查看当前 Composer 配置最直接的方式，但它输出的不是“当前项目配置”而是“生效的完整配置叠加结果”——包括全局配置、项目配置、环境变量覆盖等。很多人误以为它只显示 composer.json 里的 config 字段，实际并非如此。
为什么 composer config --list 显示的配置和 composer.json 不一致？
Composer 的配置是分层合并的，优先级从高到低为：命令行参数 > 环境变量（如 COMPOSER_HOME） > 当前项目 composer.json > 全局 config.json（通常在 ~/.composer/config.json） > 默认内置值。执行 --list 时，它展示的是最终生效值，而非来源。
- 如果在项目根目录执行，
vendor-dir可能显示./vendor，但你没在composer.json里写，说明它来自全局或默认值 - 若看到
github-oauth或http-basic出现在列表中，大概率是通过composer config --global设置过凭据 -
process-timeout默认是 300，但如果被设成 0，说明有人显式禁用了超时（常见于 CI 环境）
如何确认某项配置到底来自哪个文件？
Composer 没有原生命令直接溯源，但可通过排除法定位：
