composer下载dist包不完整本质是镜像返回截断zip，需清理vendor与缓存、换ustc/华为云镜像、强制--prefer-dist安装；验证镜像生效须用composer diagnose或-vvv看repository行，而非仅依赖config配置。
Composer下载的dist包不完整，本质是ZIP文件被截断——不是网络抖动导致重试失败，而是镜像返回了不完整的HTTP响应体，把半截zip写进了缓存，解压时才崩。重装、重试、换网都不治本，必须清理状态+换镜像+强制走dist路径。
如何确认你用的真是中文镜像？
很多人执行了composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，但实际请求的仍是https://packagist.org。原因有三：
- 项目级
composer.json里写了"repositories"字段，会覆盖全局配置 - Composer 2.2+ 已弃用
repo.packagist，改用repositories.packagist.org，旧配置静默失效 - Windows下Git Bash读的是
~/.composer/config.json，而composer config -g写的是%APPDATA%\Composer\config.json
验证真实生效地址：运行composer diagnose，盯住Repo packagist.org:这一行；或加-vvv跑一次composer show -p，第一行Repository:后面的域名才是真正在用的。
为什么换了镜像还是下载失败？
“全量镜像”≠实时同步，新包要等5–30分钟才能在镜像中查到。刚在packagist.org发布的包，立刻composer require xxx/yyy必然失败。此时：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 清元数据缓存（不是
clear-cache）：rm -rf ~/.composer/cache/repo/https---mirrors.aliyun.com-composer（路径按你镜像URL转义） - 临时切回官方源验证：
composer config -g repositories.packagist.org '{"type":"composer","url":"https://packagist.org"}'，再试composer show xxx/yyy - 别信“阿里云最快”，USTC和华为云镜像同步更稳，尤其对高频更新包
怎么真正校验vendor里的文件是否被篡改？
composer install成功 ≠ vendor完整。它只在校验刚下载的zip包（解压前），落地后就不再回头检查。唯一能真读磁盘比哈希的命令是verify-checksums，但它默认不可见：
- 必须加环境变量：
COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict - 不加
--strict，哪怕哈希不匹配也只警告、返回码仍是0，CI会误判成功 - 它跳过没有
dist.sha256字段的包（比如老旧私有包、"type": "package"），但不会报错，容易漏检 -
vendor/autoload.php被改了也不会报——它不在dist哈希覆盖范围内，且dump-autoload完全不校验它
dist包损坏后重装的正确顺序是什么？
遇到Failed to extract、unable to open archive或解压后缺src/、composer.json，说明缓存里存着坏zip。重试没用，必须彻底清理再重来：
- 删掉整个
vendor/目录：rm -rf vendor - 清Composer全局缓存：
composer clear-cache - 确认镜像已生效（见第一条），并优先选USTC或华为云
- 显式指定安装方式：
composer install --prefer-dist——这绕过git clone，强制走zip下载+SHA256校验流程
注意：--prefer-dist不是默认行为的加强版，而是唯一触发SHA256校验的路径；vendor/autoload.php这类引导文件永远不在校验链路里，生产环境必须设vendor/为只读。
