composer源合法需同时满足三条件：启用secure-http、开启签名验证、镜像仅代理https元数据；仅改镜像url为https会绕过signature校验，导致供应链完整性丧失。
不能只改镜像 URL 就算启用 HTTPS 安全连接——必须同时满足 secure-http 启用、签名验证开启、镜像仅代理元数据这三项，否则 Composer 会静默跳过包完整性校验。
为什么改了 https://mirrors.aliyun.com/composer/ 还不安全
单纯把镜像地址改成 HTTPS，只是让 packages.json 请求走加密通道，但 Composer 2.2+ 的安全机制依赖官方源返回的 signature 字段。国内镜像站（包括阿里云、腾讯云）不生成也不透传该字段，一旦你用 composer config --global repos.packagist composer https://mirrors.aliyun.com/composer/ 完全替换官方源，Composer 就会自动禁用签名验证，失去防供应链投毒能力。
常见错误现象：
- 运行
composer diagnose显示signature verification: disabled - 安装时没报错，但
vendor/下的包实际来自未校验的镜像缓存 - 项目里有
"secure-http": true却仍被允许加载 HTTP 仓库——说明配置被覆盖或解析失败
正确配置：保留官方源 + 镜像仅代理元数据
可信镜像只能用于加速元数据请求（packages.json, provider-list.json），包文件（.zip）仍需从官方或带签名的 CDN 下载。操作顺序不能错：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先启用全局签名验证：
composer config --global security.signature true - 再设置镜像为元数据代理模式：
composer config --global repos.packagist.type composer，然后composer config --global repos.packagist.url https://mirrors.aliyun.com/composer/ - 确认未残留旧配置：
composer config --global --unset repos.packagist.org（避免冲突） - 删掉项目级
composer.json中所有自定义repositories块里的"secure-http": false或"url": "http://"
验证是否真生效：看 composer diagnose 输出
执行后必须同时看到两行：
-
secure-http: OK（说明所有仓库 URL 已通过协议校验） -
signature verification: OK（说明包完整性校验链完整）
如果只有前者，后者是 disabled 或 failed，说明镜像配置方式错误，仍在绕过签名；如果连前者都没有，检查 ~/.composer/config.json 是否存在 JSON 格式错误（如多逗号、单引号）、ssl.cafile 路径是否可读、PHP 进程是否有权限访问证书文件。
容易被忽略的细节
私有仓库 URL 必须自己写成 https:// 开头，secure-http 不会帮你补协议；ssl.cafile 配错路径或格式时，Composer 会静默 fallback 到系统默认 CA，然后继续报错——你根本看不到加载失败提示。最稳妥的方式是用 curl -I https://mirrors.aliyun.com/composer/packages.json 手动验证镜像服务是否真正响应且证书有效。
