“signature mismatch”是composer安全机制生效的表现，非本地环境故障；主因包括系统时间偏差超5分钟、网络篡改或镜像未同步签名文件，需校验时间、清理缓存或切官方源解决。
composer self-update 为什么报 “Signature mismatch”
这不是你本地环境出问题，而是 Composer 在下载新版本时发现签名不匹配，直接中止更新——这是安全机制生效的表现，不是故障。
Composer 2.2+ 的 self-update 默认强制校验 GPG 签名：它会同时下载 composer.phar 和配套的 .sig 文件，用内置公钥验证签名。失败即报 Signature mismatch，绝不写入文件。
- 常见诱因包括：系统时间偏差超过 5 分钟（导致
Signature expired）、网络中间设备篡改响应、或镜像源未同步签名文件 - 加
-v参数运行可看到Verifying signature日志，确认是否进入校验流程 - 不要删掉
.sig文件或手动替换composer.phar——这会绕过校验，等于主动关闭防护
怎么确认 composer.phar 文件是否被篡改
别靠感觉，用两行命令直击本质：
先查路径：which composer；再看文件属性：ls -l $(which composer) 和 file $(which composer)。
- 如果
file输出含data而非PHP script或PHP executable，说明文件截断或写入异常，已损坏 - 如果
ls -l显示权限为----------或大小明显偏小（正常应 > 2MB），基本不可读或不完整 - Windows 下尤其警惕：PowerShell 用
Invoke-WebRequest下载的composer.phar常因换行符/Defender 拦截静默损坏，根本不会报错
Linux/macOS 下重装必须带 SHA-384 校验
跳过校验 = 主动放弃最后一道防线。官方安装器自带验证，但手动执行时极易漏关键步。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
正确流程是：
- 删旧文件：
sudo rm -f $(which composer)（注意：路径以which composer为准，不是硬删/usr/local/bin/composer.phar） - 下载安装器：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');" - 校验安装器：
HASH=$(curl -sS https://composer.github.io/installer.sig)，然后php -r "if (hash_file('sha384', 'composer-setup.php') === '\$HASH') { echo 'Installer verified'; } else { echo 'Installer corrupt'; unlink('composer-setup.php'); }" - 安装：
sudo php composer-setup.php --install-dir=/usr/local/bin --filename=composer
最后跑 composer --version 和 composer diagnose 验证是否真正就位。
vendor 包的完整性校验只在 install/update 时触发
Composer 不会持续监控 vendor/ 目录，它只在校验下载那一刻比对哈希——落地后就不再回检。所谓“自动校验”，是有严格前提的。
- 仅对
dist包（zip/tar）生效；source类型（git clone）完全跳过 - 依赖
composer.lock中的dist.shasum字段：必须存在、非空、长度为 64（SHA-256） - 缓存命中时默认跳过校验，想强制触发需加
--no-cache --prefer-dist -
composer verify-checksums --strict是唯一能事后复核已安装包的命令，但它不验证签名，只比对当前文件与 lock 中记录的哈希
真正防篡改的关键不在“怎么验”，而在“不让它有机会被改”——禁用 phar.readonly=Off、不用 root 运行 composer global require、CI 构建机清空 vendor 前先 rm -rf 而非覆盖，这些细节比签名本身更常决定成败。
