如何通过Composer中文镜像验证Composer插件的签名完整性-composer-PHP中文网

composer中文镜像不支持包签名验证，仅做http代理与缓存同步，不生成、不校验gpg签名；verify-checksums --strict仅校验dist.sha256哈希一致性，非签名信任链验证，需composer≥2.5且lock文件含该字段。

如何通过composer中文镜像验证composer插件的签名完整性

Composer中文镜像不支持包签名验证

Composer中文镜像（如阿里云、腾讯云、华为云等）只做HTTP代理与缓存同步，**不提供也不参与任何GPG签名验证流程**。所谓“验证插件签名完整性”，在镜像场景下根本不存在——镜像源既不生成签名，也不校验签名，它只转发或缓存 Packagist 原始 dist 包或 metadata。

你看到的 composer install 成功，只是说明 ZIP 包解压后文件树哈希（dist.sha256）与 composer.lock 一致；这跟“签名”无关，是纯哈希完整性校验，且完全依赖 lock 文件里有没有该字段、是否走 dist 下载路径。

镜像不会添加、修改或验证 signature 字段——Composer 官方至今（v2.7.x）根本不解析该字段
即使插件作者在 GitHub Release 页上传了 .asc 签名文件，镜像也不会下载或比对
composer config --global signing-key https://packagist.org/keys.json 只影响 Packagist 元数据 API 的响应签名验证，和镜像无关

verify-checksums --strict 能否替代签名验证？

不能替代，但可补位：它校验的是 vendor/ 目录当前状态是否与 composer.lock 中记录的 dist.sha256 一致，属于“静态快照比对”，不是“签名信任链验证”。

执行前必须确认三件事：

Composer 版本 ≥ 2.5：composer --version
每次调用都带环境变量：COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict
composer.lock 必须包含 dist.sha256 字段——旧版 Composer（sha1 或为空

注意：--strict 缺失会导致命令返回码为 0 即使校验失败，CI 流水线会静默通过。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

哪些中文插件根本无法被 verify-checksums 校验？

以下情况会导致 verify-checksums 直接跳过该包，不报错也不校验：

包类型为 "type": "package" 或 "type": "path" —— 这类包绕过 Packagist 元数据，lock 文件中无 dist 块
使用了 --prefer-source 安装，或 composer.json 中配置了 "preferred-install": {"*": "source"}
镜像源未同步原始 dist 包哈希（常见于私有镜像或小众镜像），导致 composer.lock 里的 dist.sha256 是空字符串或无效值

此时 verify-checksums 输出里不会出现该包名，容易误判为“全部通过”。需提前用 composer show --locked --format=json | jq '.packages[] | select(.dist == null or .dist.sha256 == null)' 扫描漏检项。

真正要验证插件作者身份，只能手动做 Git tag GPG 验证

如果插件托管在 GitHub/GitLab，且作者打了带 GPG 签名的 tag（如 v3.2.1），这才是唯一能确认“代码出自本人之手”的方式：

先查插件来源：composer show --locked vendor/plugin-name --format=json | jq -r '.source.url'
克隆仓库：git clone <url> && cd <repo></repo></url>
导入作者公钥（需从官网或可信渠道获取 .asc 文件）：gpg --import author.pub.asc
验证 tag：git verify-tag v3.2.1 —— 输出含 gpg: Signature made ... using RSA key 且无 warning 才可信

注意：composer install 和 verify-checksums 都不调用 git verify-tag，这步必须人工介入。很多热门中文插件（如 overtrue/wechat、laravel-s/laravel-s）虽打 tag，但未签名，此时“作者身份”实际不可证。