换镜像源导致校验失效，是因为composer config -g repo.packagist ...彻底替换官方源并绕过signature校验，而国内镜像不提供signature字段；正确做法是禁用默认源后配置repos.packagist仅代理https元数据，同时启用security.signature-verification true并验证composer diagnose输出含secure-http: ok和signature verification: ok。
为什么换镜像源反而让包校验失效
直接执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 会彻底替换 Packagist 官方源，导致 Composer 跳过 signature 字段校验——而该字段只由 packagist.org 在 HTTPS 响应中提供。国内镜像（阿里云、腾讯云、清华源）既不生成也不透传 signature，一旦缓存污染或同步延迟，composer install 就会静默拉下篡改过的 ZIP 包。
现象包括：CI 构建通过，但线上运行时触发未声明的 post-install-cmd；vendor/ 中文件哈希与 composer.lock 不匹配；composer diagnose 显示 signature verification: disabled。
- 关键区别：
repos.packagist（元数据代理）≠repo.packagist（源替换） - 镜像本质是 HTTP 缓存代理，不是可信签名锚点
- 启用旧式替换后，
security.signature-verification自动失效
如何正确配置防劫持的 HTTPS 镜像
必须保留 packagist.org 的语义和签名能力，仅将元数据请求（packages.json 等）走镜像，包文件（.zip）仍由官方 CDN 提供并校验。
- 关闭旧式源替换：
composer config -g repo.packagist false - 启用元数据镜像：
composer config -g repos.packagist.type composer，再执行composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 强制签名验证：
composer config -g security.signature-verification true - 确保 HTTPS 强制开启：
composer config -g secure-http true（默认已开，禁用即高危）
验证是否生效：composer diagnose 输出中必须同时出现 secure-http: OK 和 signature verification: OK。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer.lock 是离线防劫持的最后一道闸
只要 composer.lock 完整且提交进 Git，composer install 就完全不发网络请求——它只从 ~/.composer/cache/files 读取 ZIP 并比对 dist.shasum。镜像宕机、DNS 劫持、中间人攻击，全被挡在门外。
-
composer.lock必须提交进 Git，禁止出现在.gitignore中 - 检查任意包的
"dist": { "shasum": "..." }，值必须非空且长度为 64（SHA-256） - CI 中应复用
~/.composer/cache目录（如 GitHub Actions 的actions/cache） -
composer update必须联网，宕机期间应避免执行；临时极端情况可强制离线，但前提是缓存中已有全部包的 dist 文件
手动验证包完整性与签名是否真起作用
composer.lock 里的 dist.shasum 默认校验，但极易被绕过：没开 security.signature-verification、缓存被污染、或用了 --ignore-platform-reqs 等危险选项。
- 运行
composer install --no-scripts --no-plugins，若输出Downloading (100%)后无报错，说明校验通过；若有Hash does not match，说明机制生效 - 手动改一个
shasum值为"0000"再运行composer install，必须中止报错；否则说明 lock 未被读取或被绕过 - 临时启用包级签名验证：
composer install --verify-signatures；失败时明确报Signature mismatch或Missing signature - 签名只覆盖
dist（ZIP/TAR），source（Git clone）方式不参与校验
最容易被忽略的是：镜像配置 ≠ 容灾配置。配了阿里云镜像就以为高枕无忧，却没开 signature 验证、没固化 composer.lock、也没在 CI 中复用缓存——结果镜像一延迟，构建照样失败。
