基于分层哈希校验的Composer镜像大规模包完整性巡检-composer-PHP中文网

composer镜像必须字节级透传provider-*.json的sha256哈希，否则2.5+会报hash mismatch；阿里云q3起默认启用，腾讯云需手动开启verify-signature，旧镜像直接失效。

基于分层哈希校验的composer镜像大规模包完整性巡检

Composer 镜像的包完整性巡检不能只看 packages.json 能否返回——真正出问题的 provider 文件哈希不一致，往往要等到装某个具体包时才暴露。

provider-*.json 文件哈希必须字节级一致

Composer 2.5+ 强制校验每个 provider-*.json 文件的 sha256 值，该值写在 packages.json 的 provider-includes 字段里。镜像若只是简单转发 HTTP 响应、不解析并透传原始哈希，就会触发 hash mismatch in provider file 错误。

阿里云镜像自 2025 年 Q3 起默认启用「哈希透传」：读上游 packages.json，提取所有 provider-*.json 的声明哈希，确保镜像返回内容字节级一致
腾讯云镜像需手动开启：运行 composer config -g repos.packagist.options.verify-signature true，否则即使文件存在，也会因哈希不匹配被拒绝
旧镜像（如 phpcomposer.com）直接替换 URL 路径但不处理哈希字段，在 2.5+ 下必报错

怎么验证镜像是否真支持哈希打散？别只跑 `composer install`

很多镜像能返回 packages.json，但 provider-*.json 哈希已失效，错误要等到装某个特定包时才暴露。实操验证步骤如下：

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

运行 composer config -g repos.packagist，确认输出是 {"type":"composer","url":"https://mirrors.aliyun.com/composer/"}
找一个项目里用到的包（比如 laravel/framework），查它的 provider 文件名：curl -s https://mirrors.aliyun.com/composer/packages.json | jq -r '.provider-includes | keys[] | select(contains("laravel"))'
对比镜像与官方源的该文件哈希：curl -s https://mirrors.aliyun.com/composer/p/provider-laravel~10.0.json | sha256sum 和 curl -s https://repo.packagist.org/p/provider-laravel~10.0.json | sha256sum，两者必须完全一致

`verify-checksums --strict` 是唯一能扫 vendor 的命令

这个命令从 Composer 2.5 起存在，但属于实验功能，必须显式启用环境变量才能用。它逐包读取 vendor/ 目录，计算实际文件 SHA256，并与 composer.lock 中 dist.sha256 字段比对。

必须加 COMPOSER_EXPERIMENTAL=1 才能调用：COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict
不加 --strict 时，哪怕发现不匹配也只警告并返回 0，CI 流水线会误判为成功
它跳过 type: "path" 或没有 dist.sha256 字段的包（如老旧私有包），但不会报错，容易漏检
注意：verify-checksums 不校验 vendor/composer/autoload_*.php 这类生成文件，只校验原始 dist 包发布的结构

vendor/autoload.php 不在任何哈希链路里，必须单独防护

vendor/autoload.php 是个固定引导文件，内容恒为 require_once __DIR__ . '/composer/autoload_real.php';。它被注入恶意代码后，composer dump-autoload 完全无感，因为该命令只生成映射文件，不读取、不校验它本身。