应在composer插件中复用其内置httpdownloader实例发起请求，而非裸写curl_exec()；硬件指纹需提前采集稳定字段（如/etc/machine-id、主机名、cpu型号）并哈希生成，鉴权失败时应分级响应而非中断流程。
Composer插件里怎么安全调用cURL获取硬件指纹
不能直接在 Composer 插件中裸写 curl_exec() —— 插件运行在 Composer 生命周期的早期阶段（比如 pre-install-cmd），此时 PHP 的 autoloader 可能尚未完全初始化，且 ext-curl 未必已加载。更关键的是，硬编码 cURL 调用会破坏 Composer 的可预测性，导致安装失败或静默跳过。
正确做法是复用 Composer 自带的 HTTP 客户端能力，它底层已封装了 cURL 或 stream 封装器，并做了错误隔离、重试、代理、SSL 验证等处理。你只需通过 $io 和 $httpDownloader 获取受控的请求能力：
- 在插件主类的
activate()方法中，从$composer->getDownloadManager()->getHttpDownloader()拿到HttpDownloader实例 - 用
$httpDownloader->get($url, $options)发起 GET 请求，$options可传['timeout' => 5]等基础参数 - 硬件指纹数据必须提前由插件生成并缓存（如读取
/sys/class/dmi/id/product_uuid或调用shell_exec('dmidecode -s system-uuid')），不能在 HTTP 请求中实时计算再拼 URL —— 这会导致鉴权服务收到不一致的指纹
硬件指纹该采集哪些字段才稳定可靠
开发机的硬件 ID 极易因虚拟化、容器、云环境而失效。例如 machine-id 在 Docker 容器重启后可能变，MAC 地址 在桥接网络下不可靠，CPU ID 在某些云平台根本不可读。
推荐组合使用三项低变更率指标，拼成一个哈希值作为指纹主体：
-
/etc/machine-id（systemd 系统）或/var/lib/dbus/machine-id（兼容 fallback），优先读前者 -
php_uname('n')主机名（需确认开发规范禁止随意改 hostname） -
hash_hmac('sha256', $vendor . $model, file_get_contents('/proc/cpuinfo')[0] ?? '')中的 CPU 型号字符串（取自/proc/cpuinfo的model name行）
注意：不要依赖 $_SERVER['SERVER_ADDR'] 或 gethostbyname()，它们在 CLI 环境下常为空或返回 127.0.0.1。
鉴权失败时 Composer install/update 不该中断整个流程
如果鉴权接口返回 403 或超时，直接抛出异常会让 composer install 中断 —— 这违反 Composer 插件设计原则：插件应“增强”而非“阻断”核心流程。尤其在 CI/CD 或团队共享镜像场景下，硬性拦截会导致构建雪崩。
务实策略是分级响应：
- HTTP 请求失败（网络不通、DNS 错误）→ 记录 warning 到
$io->writeError()，继续执行 - 鉴权服务返回 403（指纹不匹配）→ 输出明确提示 “Hardware fingerprint mismatch. Contact admin.”，但不 throw 异常；可通过
composer config extra.my-plugin.skip-auth true允许临时跳过 - 仅当配置项
extra.my-plugin.strict-auth显式设为true时，才在 403 时 throwRuntimeException
所有日志和开关都应通过 $composer->getPackage()->getExtra() 读取，避免硬编码。
为什么不用 OAuth 或 Basic Auth 做鉴权
这类认证方式解决的是「谁在访问」，而硬件指纹解决的是「哪台机器在访问」。OAuth token 可被复制、Basic Auth 凭据可被泄露，但物理设备 ID 天然绑定终端。
实际部署中，常见错误是把指纹当密码直接 POST 到鉴权接口 —— 这等于明文传输设备标识。正确做法是：
- 客户端用 HMAC-SHA256 对指纹 + 时间戳 + 随机 nonce 签名，例如：
hash_hmac('sha256', $fingerprint . $timestamp . $nonce, $shared_secret) - 服务端校验签名有效性、时间戳是否在 30 秒窗口内、nonce 是否未使用过
- 全程走 HTTPS，且服务端需校验 Client Hello 中的 SNI 是否匹配预期域名，防中间人伪造
共享密钥 $shared_secret 必须通过 Composer 的 auth.json 注入（type: composer），绝不能写死在插件代码里。
