composer“无法验证签名”错误实为配置缺失或误判所致：启用签名验证但未正确配置signing-key、镜像不支持签名字段、网络/证书问题导致公钥加载失败，或security.signature-verification与signing-key混用。
Composer 默认不验证包签名，所谓“无法验证签名”错误，基本都是配置缺失或误判导致的假警报。
为什么 composer install 会报 “无法验证签名”？
这个错误通常不是来自包本身，而是你启用了签名验证但没配好公钥或元数据源：
- 你执行了
composer install --verify-signatures或全局设置了security.signature-verification true，但 Composer 找不到对应包的签名信息（比如该包根本没上传签名，或镜像源丢掉了signature字段） - 你配置了
signing-key指向https://packagist.org/keys.json，但网络不通、证书异常，或响应内容被篡改，导致公钥加载失败 - 你用了国内镜像（如阿里云），而它不转发 Packagist 的
packages.json签名字段——Composer 尝试验签时发现元数据里没有signature，就报Missing signature for vendor/package -
composer.lock里某包的dist.shasum被手动改过，又开了--verify-signatures，它会先查签名再比哈希，结果连签名都找不到，直接中断
公钥怎么加才真正生效？
Composer 不自动下载或管理公钥；它只按你指定的 URL 去拉取 keys.json，然后用里面列出的公钥去验 packages.json 的 GPG 签名。关键点：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须用
composer config --global signing-key https://packagist.org/keys.json，不能写成本地路径或错拼 URL - 该 URL 返回的是 JSON 格式公钥列表，不是单个
.asc文件；不要试图用composer keys add导入它——那个命令是给第三方包签名用的，和 Packagist 元数据验签无关 - PHP 必须能访问该 URL（DNS 可解析、HTTPS 可通、CA 证书有效）；若在内网或代理后，需确保
openssl.cafile指向正确证书 bundle - 运行
composer install -v时，日志中出现Verifying packages.json signature with key才算真正触发了验签
security.signature-verification 和 signing-key 是两回事
这两个配置作用对象完全不同，混用会导致“以为开了实则没效”：
-
security.signature-verification true：只对 dist 包启用作者 GPG 签名验证（极少数包有，如 Symfony 官方发布版），依赖包自身带dist.signature字段，且你本地得有对应公钥（目前无自动分发机制） -
signing-key https://packagist.org/keys.json：只对 Packagist 的packages.json元数据做 GPG 验签，防的是仓库投毒（比如攻击者伪造整个包索引），不涉及任何 vendor/ 下的代码文件 - 两者可同时开启，但彼此不依赖；只开前者而没配公钥，会报
Missing signature；只开后者而没设signing-key，则元数据验签根本不会启动
最常被忽略的一点：Packagist 的 keys.json 是动态更新的，Composer 不缓存或校验它的签名。如果某天 Packagist 更换主密钥，而你的 keys.json 缓存未刷新，或者 PHP OpenSSL 扩展版本太旧不支持新算法，验签就会静默失败——此时 composer install -v 日志里可能连“Verifying”字样都不会出现。
