怎么避免Composer国内镜像劫持及安全隐患排查？-composer-PHP中文网

国内镜像本身不防劫持，反而可能绕过签名验证——必须用 repos.packagist 元数据镜像模式 + security.signature-verification true + secure-http true 三者共存，缺一不可；因旧式 config -g repo.packagist 会彻底替换官方源，跳过 signature 校验，而阿里云、腾讯云等镜像均不生成/透传该字段，导致污染或延迟时静默安装篡改包。

怎么避免composer国内镜像劫持及安全隐患排查？

直接结论：国内镜像本身不防劫持，反而可能绕过签名验证——必须用 repos.packagist 元数据镜像模式 + security.signature-verification true + secure-http true 三者共存，缺一不可。

为什么换阿里云/腾讯云镜像后反而更不安全？

很多人以为“换国内镜像 = 加速 + 安全”，实际恰恰相反：composer config -g repo.packagist 这种旧式配置会彻底替换官方源，导致 Composer 完全跳过 Packagist 提供的 signature 字段校验。而所有主流国内镜像（阿里云、清华、华为）既不生成也不透传该字段，一旦镜像缓存被污染或同步延迟，composer install 就会静默安装篡改包。

常见现象包括：

CI 构建通过，但线上运行时触发异常 post-install-cmd
vendor/ 中某文件哈希与 composer.lock 不符，却无报错
composer diagnose 显示 secure-http: OK，但 signature verification: disabled

怎么正确配置防劫持的 HTTPS 镜像？

关键不是“换 URL”，而是保留 Packagist 的签名锚点能力，只把元数据请求（/packages.json 等）走镜像，ZIP 包仍由官方 CDN 提供并校验。

执行以下命令（顺序不能乱）：

composer config -g repo.packagist false —— 关闭旧式源替换
composer config -g repos.packagist.type composer
composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ —— 注意结尾斜杠和 https://
composer config -g security.signature-verification true —— Composer 2.5+ 才支持
composer config -g secure-http true —— 默认已开，禁用即高危

验证是否生效：composer diagnose 输出中必须同时出现 secure-http: OK 和 signature verification: OK。若只有一项，说明配置未生效或版本不兼容。

Composer

Composer 是 PHP 生态常用依赖管理工具，用于安装框架、组件和项目依赖。

下载

排查镜像是否被中间人劫持或防火墙干扰

企业环境里，HTTPS 镜像常被 TLS 内容审查系统拦截，表现为连接重置、超时或静默失败，而非明确报错。

快速验证步骤：

运行 curl -vI https://mirrors.aliyun.com/composer/packages.json，看是否卡在 TLS handshake 或报 certificate verify failed
浏览器打开同一地址 → F12 → Security 标签页 → 查看证书颁发者是否为“本地 CA”（即中间人证书）
若两者不一致，说明防火墙正在解密重签；此时需将企业根证书导出为 PEM，再执行 composer config -g cafile /path/to/company-ca.crt

注意：COMPOSER_CAFILE=/dev/null 或 secure-http false 是危险操作，等于主动放弃证书校验，不应作为解决方案。