答案是系统时间偏差超15分钟会触发https证书校验失败和packagist签名时间戳验证失败，即使使用镜像源也无法绕过，因镜像仅代理数据而不修改服务端返回的date响应头与本地时间比对逻辑；应启用systemd-timesyncd服务并配置可信ntp源校准。
Composer 报 filemtime(): stat failed 或 signature verification failed，基本可以确定是系统时间偏差超 15 分钟，不是镜像配置或网络问题。
为什么时间不同步会让 Composer 在镜像源下也失败
Composer 依赖 HTTPS 证书有效期和 Packagist 签名时间戳做双重校验。哪怕你用了阿里云镜像，它也只是代理元数据（packages.json）和 dist 文件，但签名验证仍需比对服务端返回的 Date 响应头与本地系统时间。一旦偏差超过 15 分钟，composer install 或 composer update 就会直接中止，报错里不会提“时间”，只显示文件操作失败或签名不匹配。
- 镜像源本身不改时间逻辑——它只是转发 Packagist 的签名和响应头
-
curl -I https://packagist.org返回的Date:头和date输出差太大，就是铁证 - Docker 容器、CI 节点、WSL 子系统都继承宿主机时间，一歪全歪
怎么快速确认并修复时间偏差（Linux 服务器）
别手动 date -s，那只是临时补丁，还会引发时区混乱。现代 Linux 应该用 systemd-timesyncd 自动校准：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
timedatectl status，重点看System clock synchronized: no和NTP service: inactive - 启用服务：
sudo timedatectl set-ntp true - 检查是否冲突：
ps aux | grep -E "(chronyd|systemd-timesyncd)"；如果chronyd在跑，先停用它：sudo systemctl stop chronyd && sudo systemctl disable chronyd - 验证同步效果：
timedatectl timesync-status，延迟应
镜像配置正确但还报错？先排除时间干扰再查镜像
很多团队误以为换镜像是万能解，结果切了阿里云镜像还是报 signature verification failed。这时必须先确保时间已准，否则所有镜像请求都会被签名层拒掉：
- 在 CI 日志里搜
Downloading https://mirrors.aliyun.com，确认真走的是镜像；但如果同时看到filemtime错误，优先修时间 - 临时禁用镜像测试：
composer config --global repo.packagist composer https://packagist.org，再跑composer install -vvv—— 如果依然失败，99% 是时间问题 - 容器环境要额外挂载：
-v /etc/localtime:/etc/localtime:ro，否则即使宿主机时间准，容器内date可能显示错误
时间不准是底层依赖，它会让所有上层配置（镜像、缓存、代理）全部失效。修完时间后，再确认镜像 URL 是否有效、composer clear-cache 是否执行、项目级 repositories 是否覆盖了全局配置——顺序不能反。
