唯一真正有效的修复是同步清除vendor目录和composer.lock文件后重装，因为“hash verification failed”本质是composer.lock中记录的dist.sha256与当前镜像源返回包的实际哈希值不匹配，属元数据错配而非网络问题。

直接删 vendor 和 composer.lock 再重装，是唯一能真正打破校验锁死的操作；只换镜像、只清缓存、只删 vendor 都会失败。

为什么“hash verification failed”不是网络问题而是元数据错配

Composer 在安装时严格比对 composer.lock 中记录的 dist.sha256 值和实际下载的 ZIP 包哈希。一旦镜像源同步延迟（如阿里云滞后 15–30 分钟），或你本地 lock 文件来自另一个镜像（比如之前用过腾讯云），就会出现“下载包内容正确但哈希不匹配”的静默失败。

• 错误信息典型表现为：The checksum verification failed 或 hash verification failed
• 这不是 PHP 扩展缺失、磁盘满或代理截断导致的——那些通常报 failed to open stream 或 gzip decode error
• 关键判断依据：运行 composer install -v，看日志里下载的 URL 是否真落到你配置的镜像域名（如 https://mirrors.huaweicloud.com/composer/）

删 lock 文件前必须确认的三件事

盲目删 composer.lock 会导致依赖图重算，可能升到未测试过的版本。动手前先验证：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 运行 composer validate --strict：若提示 The lock file is not up to date，说明是“过期”，不是损坏，优先用 composer update --lock
• 检查是否被项目级配置覆盖：composer config repositories.packagist.org，输出应为有效镜像 URL；如果为空或仍是 packagist.org，说明 composer.json 里有 "repositories" 字段把它屏蔽了
• 确认系统时间准确：date 输出偏差超过 5 分钟，HTTPS 证书校验会失败，间接导致包下载中断、哈希错位

强制从备用镜像重建锁文件的完整动作链

这不是“换源 → 跑 install”两步操作，而是一套必须按序执行的清理-重建流程：

• 切回官方源保底：composer config -g --unset repos.packagist（或显式设为 https://packagist.org）
• 清缓存：composer clear-cache，确认输出含 Clearing cache (all)
• 删干净：rm -rf vendor composer.lock（Windows 用 rd /s /q vendor & del composer.lock）
• 重装并生成新锁：composer install——此时所有 dist.sha256 均来自同一源、同一时刻快照
• 等 10–30 分钟后再切回国内镜像：composer config -g repositories.packagist.org.type composer && composer config -g repositories.packagist.org.url https://mirrors.aliyun.com/composer/（注意末尾必须带 /）

CI 环境里镜像失效的隐蔽原因

GitHub Actions 或 GitLab CI 默认不继承你本地的全局镜像配置，composer config -g 在 CI 中完全无效。更麻烦的是，只要 composer.json 里存在 "repositories" 字段（哪怕只是空数组 {}），全局镜像就彻底失效。

• 验证是否真走镜像：在 CI 日志中搜索 Downloading https://mirrors.，或加 -vvv 后 grep packages.json 请求路径
• CI 脚本中必须显式设置两行：composer config -g repositories.packagist.org.type composer 和 composer config -g repositories.packagist.org.url https://mirrors.huaweicloud.com/composer/
• 务必加 --no-interaction --no-cache 参数，避免缓存干扰和交互阻塞

真正麻烦的不是镜像慢，而是它返回了一个“哈希值对不上但 HTTP 状态码正常”的包——这种错不会报连接失败，却让整个构建卡在最后一步校验上。每一步清理都必须同步，漏掉任何一个环节，锁死状态就会原样复现。