针对Composer镜像源的分布式拒绝服务（DDoS）攻击防御实践-composer-PHP中文网

composer不支持fallback，因repo.packagist为单值配置，后设覆盖前设；容灾核心是composer.lock存在、本地缓存命中且启用https+签名验证。

针对composer镜像源的分布式拒绝服务（ddos）攻击防御实践

Composer 本身不面临 DDoS 攻击，真正被攻击的是你配置的镜像源（如 https://mirrors.aliyun.com/composer/）或官方源 https://packagist.org。但你**不需要、也不应该**为 Composer 做 DDoS 防御——它只是个客户端工具，没有网络服务端口，不接收外部连接。所谓“防御”，本质是**保障依赖安装过程在源站宕机或受攻击时仍能可靠执行**。

为什么 Composer config -g repo.packagist 不支持 fallback？

因为 repo.packagist 是一个单值配置项，不是数组。执行两次 composer config -g repo.packagist composer https://a.com 和 composer config -g repo.packagist composer https://b.com，后者会直接覆盖前者——不会叠加、不报错、也不重试。

常见错误包括：

在命令中用空格拼两个 URL：composer config -g repo.packagist composer https://a.com https://b.com → 实际只生效第一个，或命令解析失败
在 composer.json 的 repositories 数组里加多个镜像 → 这些仅用于非 Packagist 类型源（如私有包），元数据请求仍走 repo.packagist 单一配置，不参与 fallback

如何让 Composer 在 Packagist 宕机时继续工作？

关键不是“换源”，而是构建离线可用链路。真正起效的只有三件事同时成立：

composer.lock 文件必须存在且未被篡改（它是唯一可信的依赖快照）
本地缓存中已有对应 ZIP 包（路径：~/.composer/cache/files/），且哈希校验通过
镜像源配置仅用于元数据拉取，且启用签名验证（security.signature = true）

推荐配置组合：

composer config -g repos.packagist.type composer
composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/
composer config -g security.signature true

注意：repos.packagist（带 s）才是正确字段名；用 repo.packagist（无 s）会静默失效。执行后运行 composer diagnose，确认输出含 secure-http: OK 和 signature verification: OK。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

镜像源 HTTPS 强制要求与签名绕过风险

所有现代 Composer 版本（2.2+）拒绝 HTTP 镜像源，http:// 会被直接拦截。这是安全底线。

但更隐蔽的风险在于：如果仅执行 composer config -g repo.packagist composer https://mirrors.example.com 而没开启签名验证，Composer 会跳过包签名校验——一旦镜像缓存被污染（例如中间人劫持或镜像站同步异常），就可能装入恶意 ZIP 包。

所以必须配对使用：