必须同步删除vendor和composer.lock再执行composer install，因校验失败根源是composer.lock中硬编码的dist.sha256与新包不匹配；仅清缓存、换镜像或单删vendor均无效。
必须同步删除 vendor 和 composer.lock，再重跑 composer install —— 其他操作（清缓存、换镜像、只删 vendor）全部无效。
为什么 composer clear-cache 不能解决哈希校验失败
校验失败的源头不是缓存里的 ZIP 包副本，而是 composer.lock 文件里硬编码的 dist.sha256 值。Composer 安装时会严格比对这个值和刚下载下来的包内容，差一个字节就报 hash verification failed。
执行 composer clear-cache 只清空 ~/.composer/cache（Linux/macOS）或 %APPDATA%\Composer\Cache（Windows），完全不影响 composer.lock 里的旧哈希。
删 vendor 后直接 composer install 为什么还失败
因为 composer install 默认读取并信任 composer.lock，它不会主动刷新哈希值。只删 vendor 目录后，Composer 仍会用旧 lock 文件里的过期 dist.sha256 去校验新下载的包，结果必然失败。
Windows 用户尤其容易漏掉 del composer.lock，必须配对执行：rd /s /q vendor & del composer.lock；Linux/macOS 对应：rm -rf vendor composer.lock。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
怎么确认镜像源真的在生效，而不是“配置写了就完事”
别信 composer config -g repo.packagist 的输出，唯一可信证据是网络请求日志里的第一行 Downloading 地址：
- 运行
composer install -vvv --no-progress 2>&1 | grep "Downloading.*packages.json" | head -n 1 - 若输出类似
Downloading https://mirrors.aliyun.com/composer/p/provider-2025-10%24.json，说明镜像生效 - 若仍是
https://packagist.org/，说明被项目级"repositories"字段覆盖，或全局配置写错字段名（应为repos.packagist，不是repo.packagist） - 检查项目级配置：
composer config repositories，有输出即屏蔽全局
重装前为什么要先切回官方源
国内镜像存在 10–30 分钟同步延迟，你本地 composer.lock 可能记录的是上周的哈希，而镜像已同步新版包，二者天然不匹配。直接在镜像未同步完成时重装，等于拿不确定一致的源验证确定过期的哈希。
正确顺序是：
- 切回保底源：
composer config -g --unset repos.packagist（或显式设为https://packagist.org） - 清缓存：
composer clear-cache - 删干净：
rm -rf vendor composer.lock - 重装生成新锁：
composer install—— 此时所有哈希来自同一时刻的官方快照 - 等 30 分钟后再切回镜像（推荐阿里云或华为云）
真正卡住的从来不是网络或证书，而是 composer.lock 和实际包内容之间那条被写死的哈希契约——它不随镜像切换自动更新，只能靠原子性清除重建。
