verify-checksums 是唯一能真正校验已安装插件文件完整性的命令，但它默认不可用，必须手动激活实验模式且严格启用校验开关；该命令仅比对 composer.lock 中的 dist.sha256 与 vendor 目录实际内容，不校验 vendor/autoload.php，生产环境需配合 chmod -r a-w vendor/ 等防护措施。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
verify-checksums 是唯一能真正校验已安装插件文件完整性的命令，但它默认不可用，必须手动激活实验模式且严格启用校验开关。
为什么 verify-checksums 不直接生效
Composer 2.5+ 才内置 verify-checksums 命令，但它被归为实验功能，不设环境变量就完全不可见：
– 运行 composer list 看不到该命令
– composer --version 必须 ≥ 2.5，否则先执行 composer self-update
– 每次调用都得显式加环境变量：COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict
verify-checksums --strict 能否用于中文镜像源安装的插件
可以，但结果可能失败——它不关心你用的是 https://mirrors.aliyun.com/composer/ 还是官方源，只比对 composer.lock 中记录的 dist.sha256 和当前 vendor/ 目录实际内容。
常见失败原因包括：
– 镜像未同步原始 dist 包，哈希值“匹配”但内容已被替换
– 插件使用了 "type": "package" 或 --prefer-source，导致 composer.lock 里压根没写 dist.sha256 字段
– composer.lock 是 Composer 2.3 之前生成的，缺少 dist 哈希字段
– 本地缓存污染（如手动改过 ~/.composer/cache/files/ 下的 zip）
如何定位具体哪个插件哈希不匹配
verify-checksums 只报 “Checksum mismatch”，不指明路径。要快速定位问题插件：
– 先查锁文件中该插件的哈希：composer show --locked vendor/plugin-name --format=json | jq -r '.dist.sha256'
– 进入对应目录：cd vendor/vendor/plugin-name
– 手动计算目录哈希（排除非发布内容）：find . -type f ! -name '.git*' ! -path './tests/*' ! -path './vendor/*' -print0 | sort -z | xargs -0 shasum -a 256 | shasum -a 256
– 对比输出是否与上一步提取的 dist.sha256 一致
中文镜像插件完整性验证的真正盲区
verify-checksums 完全不校验 vendor/autoload.php —— 它是 Composer 安装时生成的引导文件，内容固定为 require_once __DIR__ . '/composer/autoload_real.php';，哪怕被替换成 eval($_GET['x'])，所有校验命令都无感。
生产环境唯一有效防护：
– 部署后立即执行：chmod -R a-w vendor/
– CI 中加断言：grep -q "autoload_real\.php" vendor/autoload.php || exit 1
