如何安全地使用公共Composer国内镜像-composer-PHP中文网

直接换镜像源不安全，因阿里云等镜像不提供signature字段导致composer降级为无校验模式；安全做法是分离元数据（走镜像）与包文件（走官方源），并强制启用签名验证。

如何安全地使用公共composer国内镜像

直接换镜像源不等于安全——阿里云、腾讯云等公共镜像默认跳过包签名验证，composer install 会静默关闭完整性校验，供应链投毒风险真实存在。

为什么 `composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/` 不安全

这条命令本质是**完全替换官方源**，而国内镜像站不提供 packages.json 中必需的 signature 字段。Composer 2.2+ 检测不到该字段时，自动降级为无校验模式，所有 .zip/.tar 包都不做哈希比对。

镜像只是 HTTP 缓存代理，不参与签名生成与验证流程
repo.packagist 配置会覆盖 packagist.org 的元数据入口，连带丢弃其签名响应头
哪怕 URL 是 HTTPS，只要没 signature 字段，composer diagnose 就会显示 signature verification: disabled

真正安全的配置：保留官方源 + 强制签名 + 元数据走镜像

Composer 2.2+ 支持分离元数据（packages.json）和包文件（dist）的请求路径。安全做法是让元数据请求走国内镜像（加速），但包下载仍走官方或带校验的 CDN，并强制启用签名验证。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

启用签名验证：composer config -g security.signature true
设置可信镜像（仅代理元数据）：composer config -g repos.packagist.type composer，再执行 composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/
确保 HTTPS 强制开启：composer config -g secure-http true（默认已开，勿手动关）
验证是否生效：composer diagnose 输出中必须同时出现 secure-http: OK 和 signature verification: OK

项目级配置容易踩的坑

在 composer.json 里写 "repositories" 字段时，若结构错误或键名错位，会导致签名验证被绕过且不报错。

不能写成 "repositories": [{"type": "composer", "url": "..."}] —— 这会覆盖默认源，失去 signature
正确写法是显式声明 packagist 官方源并禁用其元数据，再单独加镜像："repositories": {"packagist.org": false, "aliyun": {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}}
必须保证 packagist.org 条目存在且设为 false，否则 Composer 会 fallback 到无镜像无校验的老逻辑
删掉旧的 "repositories" 字段后重跑 composer install -vvv，日志里应看到 Downloading https://packagist.org/p/...（包文件）和 Reading https://mirrors.aliyun.com/composer/packages.json（元数据）混用

验证是否真在安全模式下运行

别信“命令执行成功”，必须查三处：

运行 composer config -g repos.packagist，输出应为 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}（注意是 repos.packagist，不是 repo.packagist）
运行 composer diagnose，确认 Repo.packagist.org 行显示 https://packagist.org（说明官方源仍在），且 signature verification 显示 OK
删掉 vendor/ 和 composer.lock，执行 composer install -vvv，日志中所有 Downloading 行必须含 packagist.org 或带校验的 CDN 域名，而非镜像域名