只换镜像url不等于安全，必须同时启用签名验证、强制https且镜像仅代理元数据；否则因镜像不提供signature字段，composer会降级为无校验模式，导致拉取的包可能被篡改。
直接上结论：只换镜像 URL 不等于安全，必须同时启用签名验证、强制 HTTPS、且镜像仅作元数据代理——否则你拉下来的包可能已被篡改。
为什么 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 是危险操作
这条命令看似正确，实则完全关闭了 Composer 的官方签名验证机制。阿里云等主流镜像不提供 signature 字段，Composer 检测不到后会自动降级为无校验模式，攻击者只要污染镜像缓存，vendor/ 里就可能混入恶意代码。
- Composer 2.5+ 的安全链路依赖 packagist.org 响应中的
signature字段，该字段只在官方源返回 - 镜像本质是 HTTP 缓存代理，不参与签名生成，也无法转发 signature 元数据
- 执行该命令后，
composer diagnose中signature verification会显示disabled，而非OK
真正安全的配置：保留官方源 + 镜像仅代理元数据
正确做法不是“替换”，而是“分流”：让 packages.json 等元数据走镜像加速，但包文件（.zip）和签名验证仍锚定官方源。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 全局启用签名验证：
composer config -g security.signature true - 设置可信 HTTPS 镜像（仅用于元数据）：
composer config -g repos.packagist.type composer，再执行composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 确认未禁用证书校验：
composer config -g secure-http true（默认已开，但需检查是否被覆盖） - 验证生效：
composer diagnose输出中必须同时出现secure-http: OK和signature verification: OK
项目级配置如何避免破坏老项目
老项目（尤其是 PHP 7.4 及以下、composer.lock 含 32 位 content-hash 的）对镜像兼容性极差，强行加 repositories 数组会导致 Could not find package。
- 老项目应禁用兜底，而非引入新源：进根目录执行
composer config repositories.packagist.org false，它会在composer.json中写入"repositories": {"packagist.org": false} - 新项目才用显式镜像声明：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（注意不加-g） - 切勿在老项目
composer.json中手动添加"type": "composer"数组——这会触发 Composer 2.2+ 的隐式兜底逻辑，反而去拉官方元数据 - 改完必须删
vendor/和composer.lock，再跑composer install，否则旧 lock 文件里的 dist URL 和 hash 仍指向 packagist.org
验证是否真走镜像且保持安全
别信 composer config -g repo.packagist 的输出，那只是配置项；要确认实际行为，得看请求日志和诊断结果。
- 运行
composer install -vvv 2>&1 | grep -E "(GET|mirrors|packagist.org)"，应看到大量GET https://mirrors.aliyun.com/composer/packages.json，但关键包下载仍是GET https://api.github.com/.../archive/...或https://packagist.org/files/... -
composer diagnose必须同时满足：secure-http: OK、signature verification: OK、HTTP proxy support: disabled（避免代理干扰校验） - 若遇到
cURL error 60，检查镜像 URL 是否多写了/（如腾讯云地址末尾本就不带/，多加会 404），或是否用了已停更的镜像（如https://packagist.laravel-china.org）
最易被忽略的一点：安全配置和镜像加速是两套正交机制。很多人以为配了镜像就“万事大吉”，却没意识到自己亲手关掉了签名验证——而供应链攻击往往就发生在你重装依赖的那一刻。
