只换镜像源更危险，因其彻底替换官方源，导致composer跳过packagist.org提供的signature字段校验；国内镜像不生成也不透传该签名，一旦缓存污染或同步延迟，便静默安装篡改包。
为什么只换镜像源反而更危险
直接执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 看似加速，实则关闭了 Composer 的核心安全机制：官方包签名验证。packagist.org 在 HTTPS 响应中提供 signature 字段，用于校验每个包 ZIP 文件的完整性；而所有国内镜像（阿里云、腾讯云、清华源等）既不生成也不透传该字段。一旦镜像缓存被污染或同步滞后，composer install 会静默下载并解压恶意代码，且不报任何错误。
- 典型现象：CI 构建成功，线上运行时触发未声明的
post-install-cmd，或vendor/中文件哈希与composer.lock不匹配却无提示 - 抓包可见：
packages.json来自镜像，但dist.zip实际从非预期域名下载（如被劫持的 CDN） - 根本原因：该命令彻底替换源，Composer 不再请求 packagist.org，自然收不到 signature
真正安全的配置必须同时满足三件事
安全 ≠ 快，而是元数据可加速、包文件可验证、签名锚点不丢失。正确做法是保留 packagist.org 的语义身份，仅代理元数据请求。
- 先停用危险替换：
composer config -g repo.packagist false - 启用元数据镜像（仅影响
packages.json等）：composer config -g repos.packagist.type composer，再执行composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 强制开启签名验证：
composer config -g security.signature true - 确保 HTTPS 强制启用（默认已开，但别手动关）：
composer config -g secure-http true
验证是否生效：运行 composer diagnose，输出中必须同时出现 secure-http: OK 和 signature verification: OK —— 少一个都不算安全。
项目级配置怎么避免清空私有源又保持安全
全局配置在 CI/宝塔/Docker 中容易因用户权限错位失效，项目级更可控，但操作不当会直接删掉你原有的 Git 私有源。
- 若
composer.json中repositories是对象格式（如"repositories": {}），执行composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加-g）会自动转为数组并追加，不破坏结构 - 若已是数组格式，别用命令覆盖 —— 手动编辑，在
repositories数组里插入{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}，并确保首位是{"packagist.org": false}（禁用默认源） - 改完必须删掉
vendor/和composer.lock：旧 lock 文件记录的是官方源下的 dist URL，不删它，composer install仍按旧路径找包，根本不会走镜像
composer.lock 是离线防篡改的最后一道闸
只要 composer.lock 完整提交进 Git，composer install 就完全不发网络请求 —— 它只从 ~/.composer/cache/files 读 ZIP 并比对 dist.shasum。DNS 劫持、中间人、镜像宕机，全被挡在外面。
-
dist.shasum必须存在且为 64 字符（SHA-256），否则校验逻辑不会触发 - 手动改一个
shasum值为"0000"后运行composer install，必须中止报错；否则说明 lock 文件未被读取，或用了--ignore-platform-reqs等绕过选项 - CI 流水线建议加
composer install --no-scripts --no-plugins，观察是否出现Hash does not match报错 —— 这是验证 lock 文件是否真正起效的最简方式
安全配置不是一步到位的事，而是每次 composer install 都在重校验。最容易被忽略的，是以为配完镜像就万事大吉，却没确认 signature verification: OK 是否真出现在 composer diagnose 输出里。
