必须同步删除vendor和composer.lock后重新运行composer install，因为校验失败根源在于composer.lock中硬编码的dist.sha256与新下载包不匹配，仅清缓存或只删vendor无法更新该哈希值。
“The checksum verification failed”不是缓存脏了就能修好的问题——95% 的情况必须同步删掉 vendor 和 composer.lock，再重跑 composer install。只清缓存、只换镜像、只删 vendor，都会复现错误。
为什么 composer clear-cache 不能解决校验失败
因为校验失败的源头不在下载缓存里，而在 composer.lock 文件中硬编码的 dist.sha256 值。Composer 安装时会拿这个哈希去比对刚下下来的 zip 包，哪怕只差一个字节也直接报错。
-
composer clear-cache只清~/.composer/cache/（Linux/macOS）或%APPDATA%\Composer\Cache（Windows），composer.lock里的旧哈希纹丝不动 - 只删
vendor后执行composer install，它仍会照着旧lock文件去校验新包，必然失败 - Windows 用户容易漏掉
del composer.lock，必须配对执行：rd /s /q vendor & del composer.lock
怎么确认当前用的是哪个镜像源
很多人以为运行了 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 就搞定了，其实请求可能根本没走到镜像站。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先查全局配置：
composer config -g repos.packagist，正确输出应为{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}；如果还是packagist.org，说明没设上 - 再查项目级覆盖：
composer config repositories，若出现"type": "vcs"或自定义 URL，会直接绕过镜像机制 - 手动验证通断：
curl -I https://mirrors.aliyun.com/composer/packages.json，必须秒回 HTTP/2 200 才算真通；企业内网常见 TLS 握手卡死，可临时关 SSL 验证：composer config -g secure-http false（完事后务必恢复）
真正有效的修复流程（顺序不能乱）
删之前建议先备份：cp composer.lock composer.lock.bak。以下步骤缺一不可：
- 切回官方源保真：
composer config -g --unset repos.packagist（或显式设为https://packagist.org） - 清缓存：
composer clear-cache - 删干净：
rm -rf vendor composer.lock（Windows 用rd /s /q vendor & del composer.lock） - 重装生成新锁：
composer install——此时会拉取完整packages.json，所有dist.sha256都来自同一时刻快照
国内镜像同步延迟怎么判断和应对
阿里云、腾讯云等主流镜像有 10–30 分钟同步延迟，尤其遇到新发版或 dev 分支。别靠“换一个镜像”碰运气，得验证。
- 先用官方源验证是否正常：
composer config -g repo.packagist composer https://packagist.org && composer clear-cache && composer install；若成功，说明是镜像延迟 - 等 30 分钟后再切回镜像，或改用已知同步更快的源（如华为云有时比阿里云快）
- 注意：某些私有仓库或
type: vcs配置会绕过镜像机制，这种情况下连官方源也会报错，得先composer config --unset repositories排查
最常被忽略的是时间同步和磁盘空间——系统时间不准会导致 HTTPS 证书校验失败，间接触发元数据下载异常；磁盘满则导致缓存写入截断，packages.json 里 shasum 字段为空或格式非法，错误提示却显示“无法获取包的哈希值”，实际连下载都没开始。
