必须提交composer.lock且不能被.gitignore排除——它是应用项目依赖一致性的强制契约；缺失或被忽略时，composer install将退化为update，导致各环境版本漂移、构建不可重现及线上故障。
composer.lock 为什么必须提交，且不能被 .gitignore 排除
不提交 composer.lock，等于放弃依赖一致性控制——本地跑通、CI 构建失败、线上 Class not found 都是必然结果，不是概率问题。
常见错误是把 composer.lock 加进 .gitignore，或 CI 流水线里没检查它是否存在。GitLab CI 或 GitHub Actions 中，若缓存命中旧 lock 文件，或根本没生成 lock，composer install 就会退化成 update 行为，重新解析依赖树，版本漂移不可避免。
- 每次修改
composer.json后，必须运行composer update（或composer require）并提交更新后的composer.lock -
composer install只读 lock 文件；composer update忽略 lock、重算依赖——二者语义完全不同，不可混用 - 执行
composer validate --strict可提前发现 lock 文件损坏或缺失包的错误
如何让 Composer 只从 packagist.org 下载，禁用所有私有源干扰
加私有仓库不是加固，而是扩大攻击面。只要一个私有源配置错误或被入侵，同名包就可能被掉包——比如你内部的 acme/utils 被 Packagist 上恶意发布的同名高版本覆盖。
确认当前项目只走官方源，最直接的方法是运行：
composer config repositories
如果输出里出现 type: "composer" 的非 https://packagist.org 地址，就得清理。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 删掉所有自定义仓库：
composer config --unset repositories.packagist-private（把packagist-private换成你实际的 key） - 确保没执行过
composer config packagist false——这个操作会彻底禁用官方源，极其危险 - 如确需私有源，必须启用 provider-signature 验证，且优先级低于 packagist.org（靠
packagist: false+ 显式声明官方源来实现）
secure-http 和 preferred-install dist 是防混淆的硬性开关
这两项配置不依赖外部服务，但默认关闭。不开，Composer 就无法校验包来源真实性，等于裸奔。
secure-http true 强制所有仓库使用 HTTPS，阻断中间人劫持；preferred-install dist 确保只装带哈希校验的压缩包（dist），跳过不可信的 git 源码安装路径。
- 启用方式：
composer config secure-http true和composer config preferred-install dist -
composer.lock中每个包的dist.shasum字段是最后一道防线——只要没被手动篡改，install 时就会比对下载文件哈希 - CI/CD 中务必加
--prefer-dist参数，生产环境禁止用--prefer-source
allow-plugins 白名单和 magento/composer-dependency-version-audit-plugin 是防供应链攻击的组合拳
allow-plugins 不是开关，是插件执行闸门。设成 {"*": false} 后，所有插件默认被拒，包括 symfony/flex——必须精确放行。
magento/composer-dependency-version-audit-plugin 则专治“私有包名被公共源高版本覆盖”的典型混淆攻击，比如攻击者发个 acme/private-utils:v99.9.9 诱使 update 自动升上去。
- 白名单写法必须精确：
"allow-plugins": {"symfony/flex": true, "laravel/pint": true}，不支持通配符 - 生产部署加
--no-plugins，且参数位置要紧跟composer install，否则无效 - 审计插件安装：
composer require --dev magento/composer-dependency-version-audit-plugin
真正起作用的从来不是单点防护，而是 audit 查 CVE、allow-plugins 控执行、magento/composer-dependency-version-audit-plugin 防版本覆盖——三者缺一不可。最容易被忽略的是：插件白名单一旦设错，连 dump-autoload 都可能失败，而你未必意识到是它在拦路。
