唯一能真正修复 checksum mismatch 的做法是删除 vendor 和 composer.lock 后重新运行 composer install；因为校验失败根源在 lock 文件中过期的 dist.sha256 值，仅清缓存或只删 vendor 仍会复用该错误哈希，必然失败。
Hash 校验失败不是网络连不上，而是 Composer 下载的文件和 composer.lock 里记的哈希对不上——95% 的情况必须删掉 vendor 和 composer.lock 一起重装，只清缓存或只删 vendor 没用。
为什么 composer clear-cache 不能解决 checksum mismatch
因为校验失败的根源不在下载缓存，而在 composer.lock 文件里存着过期的 dist.sha256 值。Composer 安装时会严格比对这个值和刚下下来的 zip 包，哪怕只差一个字节也报错。
-
composer clear-cache只清~/.composer/cache/，composer.lock里的错误哈希还在 - 只
rm -rf vendor后再composer install，它仍照旧 lock 文件去校验新包，必然失败 - Windows 用户要注意：
rd /s /q vendor & del composer.lock才是等效操作，别漏掉del composer.lock
怎么确认是镜像源同步延迟而非本地问题
国内主流镜像（阿里云、腾讯云）有 10–30 分钟同步延迟，尤其遇到新发版或 dev 分支。不能靠“换一个镜像”碰运气，得验证。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先切回官方源：
composer config -g --unset repos.packagist && composer config -g repo.packagist composer https://packagist.org - 再执行：
composer clear-cache && composer install - 如果成功，说明原镜像没跟上；别急着切回去，等 30 分钟，或换华为云等已知同步更快的源
- 注意：
composer config repositories能看到真实生效的源，某些type: vcs配置会直接绕过镜像机制
“无法获取包的哈希值”其实是元数据损坏，不是网络问题
这个提示出现在解析阶段，不是下载失败。Composer 在读 ~/.composer/cache/repo/ 下的 packages.json 时，发现对应包的 dist.shasum 字段缺失、为空或格式非法——压根还没开始下载。
- 常见原因：手动删过缓存子目录、磁盘满导致写入截断、老旧私有镜像返回不规范 JSON
-
composer clear-cache能解决，因为它会清空整个cache/目录，强制下次拉取完整元数据 - 如果清完还报错，就该检查镜像源本身：用
curl -v https://mirrors.aliyun.com/composer/p2/monolog/monolog.json（把包名换成报错里的）看响应体是否含"shasum"字段 - PHP 内存限制太低或
json_decode()出错也可能静默丢字段，可临时调高memory_limit
真正难排查的底层干扰点
当删 lock、切官方源、清缓存全试过还失败，问题大概率不在 Composer 层面，而在环境层。
- 系统时间偏差 > 3 分钟：HTTPS 证书验证失败 → 下载被截断 → 文件不完整 → 哈希必错
- 企业代理或防火墙：某些中间设备会重写响应体（比如注入 JS、压缩 HTML），哪怕只改一个字节，
sha256就对不上 - PHP
hash或openssl扩展异常：运行php -r "echo hash('sha256', 'test') . PHP_EOL;"看是否输出正常 - 私有仓库或 fork 项目：一旦
composer.json里写了自定义repositories，它的 dist URL 和哈希就可能和 packagist.org 不一致，此时连官方源也会失败
最容易被忽略的是：你以为在修 Composer，其实是在调网络、时间、代理或私有源配置。别卡在“重试安装”这一步，先用 composer install -v 定位具体哪个包、哪个文件哈希不匹配，再决定查哪一层。
