必须切断对packagist.org的隐式依赖，因composer config -g repo.packagist仅修改元数据源，不控制zip下载路径，公共镜像缺失dist.shasum导致签名验证静默失效；需硬编码带时间戳的只读镜像url，确保packages.json与对应zip路径严格一致，并由nginx网关校验sha256。
边缘节点上 Composer 不能只换镜像 URL，必须切断对 packagist.org 的任何隐式依赖，否则签名验证失效、快照不可重现、离线即崩。
为什么 composer config -g repo.packagist 会失效
这个命令只改元数据源（packages.json），但不控制 ZIP 包的实际下载路径。Composer 仍会从 dist.url 字段指向的官方 CDN 或镜像站拉取 ZIP，而公共镜像（如阿里云）不保留 dist.shasum，导致校验跳过——你根本不知道包是否被篡改。
- 现象：
composer install成功但实际加载了未签名包，composer validate不报错 - 根源：Composer v2 默认启用
secure-http，但若元数据中dist.shasum为空或不匹配，它会静默降级为无校验模式 - 解决：必须在项目级
composer.json中硬编码带时间戳的只读镜像 URL，并确保该 URL 下所有.zip文件路径与packages.json中的dist字段完全一致
如何构造可离线、可复现的本地镜像 URL
URL 必须包含具体日期路径，且该路径下需同时存在 packages.json 和所有对应 ZIP 包——这是唯一能锁定依赖树时间点的方式。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确示例：
"url": "https://edge-mirror.local/2026-06-15"，该路径下有packages.json和dists/vendor/package/version/hash.zip - 错误写法：
"url": "https://edge-mirror.local"或"url": "https://edge-mirror.local/latest"—— 无法保证内容不变 - 对象存储路径必须严格为
/{vendor}/{package}/{version}/{hash}.zip，不能用随机 ID 或重命名，否则dist.shasum校验失败 - Nginx 反向代理必须拦截
GET /dists/*请求，读取packages.json中的dist.shasum，并比对实际文件 SHA256，不一致返回403
cache-dir 和 autoloader 的边缘适配要点
SD 卡频繁写入会快速损坏嵌入式设备，而默认 autoloader 在运行时动态查找类文件，对 CPU 和 I/O 压力大。
-
cache-dir必须指向 RAMFS 或 tmpfs 分区，例如"cache-dir":"/dev/shm/composer"；避免写入 eMMC 或 SD 卡 - 必须使用
composer dump-autoload --optimize --classmap-authoritative，生成全量类映射表，关闭 PSR-4 动态查找 - 禁止启用
fxp-asset插件——它会额外发起 GitHub API 请求，在边缘网络中断时直接卡死 - 部署前务必运行
composer check-platform-reqs，PHP 版本、扩展（如openssl、mbstring）缺失会导致签名验证失败，但错误信息极不明确
真正轻量化的关键不是删功能，而是把「可验证」和「可冻结」变成强制约束——时间戳路径、SHA256 校验网关、只读对象存储，三者缺一不可。少一个，就等于把供应链安全交给网络抖动和镜像站运维水平。
