composer 2.5+ 强制校验 provider 文件 sha256 哈希，旧式镜像（如硬替换 url）因不满足透传或重签要求而报“invalid package information”；阿里云默认启用透传，腾讯云需手动开启 verify-signature；ci 中应避免全局 config，推荐用 -d 参数或构建参数临时指定镜像。
Composer 2.5+ 开始强制校验 provider 文件的 sha256 哈希值，旧式镜像配置（如直接替换 packages.json 中的 provider-includes URL）会直接失败，报 Invalid package information 错误——这不是网络问题，是协议层面不兼容。
镜像配置从硬替换到哈希透传的转变
早期镜像（如 phpcomposer.com）靠修改 packages.json 里的 URL 实现代理，但 Composer 2.5+ 不再信任内容被中转后的 provider 文件。它要求每个 provider-*.json 的哈希必须与上游一致，否则拒绝加载。
- 真正兼容的做法只有两种：
哈希透传（镜像原样返回上游哈希声明 + 对应内容）或哈希重签（镜像自己生成并签名，需上游信任该镜像公钥） - 阿里云镜像自 2025 年 Q3 起默认启用透传；腾讯云需手动开启：
composer config -g repos.packagist.options.verify-signature true - 如果你看到
hash mismatch in provider file或file_get_contents(): SSL operation failed，优先检查镜像是否已适配，而非重试或换网络
config.repos.packagist 配置项在 v2.5+ 下的行为变化
config.repos.packagist 不再只是简单覆盖源地址，它现在参与哈希验证链路。若你手动设为非官方镜像但未启用签名验证，Composer 会静默降级为只读模式，部分 provider 可能无法加载。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 推荐写法（显式启用验证）：
composer config -g repos.packagist composer https://mirrors.aliyun.com/composer/ - 错误写法（绕过验证但破坏一致性）：
composer config -g repos.packagist packagist https://mirrors.tuna.tsinghua.edu.cn/composer/—— 这种用packagist作为 repo type 会跳过签名检查，导致后续require某些包时突然失败 - 所有自定义镜像必须支持
GET /packages.json和GET /p/<vendor>/<package>.json</package></vendor>两个端点，且响应头需带Content-SHA256或提供.sig签名文件
为什么 composer config -g repos.packagist 在 CI 中容易出错
CI 环境常复用缓存或基础镜像，composer config -g 写入的是全局配置（~/.composer/config.json），若前序 job 已写入不兼容镜像配置，当前 job 就会继承错误状态，且无提示。
- 安全做法：每次运行前重置，用
composer config -g --unset repos.packagist清除，再显式设置 - 更稳妥做法：不依赖全局配置，改用
-d参数临时指定：php -d composer.repo.packagist=https://mirrors.aliyun.com/composer/ composer install - Docker 构建中避免
RUN composer config -g，改用构建参数传入镜像地址，通过ARG COMPOSER_MIRROR+ENV COMPOSER_REPO_PACKAGIST=${COMPOSER_MIRROR}控制
哈希校验不是可选项，是 Composer 2.5+ 的默认行为；镜像服务是否“看起来能用”，和它是否真正满足协议要求，是两回事。冷门包首次安装变慢、provider 加载失败、甚至某些包完全不可见——这些表象背后，大概率是镜像未完成哈希透传升级。
