唯一能真正修复“checksum validation failed”的做法是删除vendor和composer.lock后重新运行composer install；因为仅清缓存或只删vendor仍会复用composer.lock中已失效的旧校验和，导致校验失败。
为什么 Composer 会报 “Checksum validation failed”
这通常不是网络中断或包损坏，而是本地缓存的 composer.lock 或下载的包元数据（如 packages.json）与镜像源当前内容不一致。国内常用镜像（如阿里云、腾讯云、华为云）偶尔会同步延迟或清理旧版本，导致 Composer 校验远程包的 SHA256 值失败。
关键点：错误发生在校验阶段，不是下载失败；重试前必须清除已失效的缓存，否则换镜像也没用。
-
composer clear-cache必须执行，否则仍读旧缓存 - 镜像配置需写入全局 config（
~/.composer/config.json），而非仅当前项目 - 部分镜像（如华为云）对
packagist.org的同步有数小时延迟，遇到新发布的包容易出错
如何安全切换并验证镜像源
别直接改 config.json 手动写 URL —— 容易拼错或漏掉 repositories.packagist.org 的代理配置。推荐用 composer config 命令操作：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
注意：-g 表示全局生效；repo.packagist 是固定键名，不能写成 packagist 或 packagist.org。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 阿里云镜像最稳，适合生产环境；腾讯云镜像偶尔返回 503，可备用
- 换源后首次运行
composer install会重新拉取packages.json，耗时略长，别中途 Ctrl+C - 若仍报 checksum 错，检查是否用了
--no-cache—— 这会让 Composer 绕过本地缓存但不跳过校验，反而更易失败
遇到特定包校验失败的临时绕过方案
极少数情况（比如某包刚发布、镜像未同步、或你本地 composer.lock 被手动改过），校验就是过不去。此时不建议删 lock 文件重生成 —— 可能引入兼容性问题。优先尝试：
- 加
--ignore-platform-reqs无效，它只跳过 PHP 扩展检查，不影响 checksum - 真正有效的参数是
--no-plugins+--no-scripts，排除插件干扰后再试 - 终极手段：临时禁用校验（仅调试用）—— 设置环境变量
COMPOSER_DISABLE_CHECKSUM_VERIFICATION=1，然后运行composer install
⚠️ 注意：COMPOSER_DISABLE_CHECKSUM_VERIFICATION=1 仅应在确认包来源可信（如公司内网镜像、离线包）时启用，公网环境下禁用校验等于放弃完整性保护。
哪些操作会触发 checksum 重新计算
不是所有命令都会重跑校验。理解触发时机能避免误操作：
-
composer install：一定校验composer.lock中记录的每个包哈希值 -
composer update：先更新 lock，再校验新包；若 lock 未提交，本地修改可能被覆盖 -
composer require xxx：本质是 update，同样触发全量校验 -
composer dump-autoload或composer diagnose：不触发 checksum 校验
所以，如果只是想重装依赖，用 install；如果 lock 文件没问题，就别轻易 update —— 多一步解析，多一次校验风险。
