composer镜像源404主因是同步延迟或客户端缓存/配置错误，而非镜像主动清洗；需验证镜像url末尾斜杠、检查curl -i响应、清缓存并删composer.lock重装。
Composer 镜像源本身不执行“数据清洗”或“坏包标记”——这些说法是误传。所谓“同步延迟”“404 包”“缓存污染”，根源全在客户端行为与服务端同步策略的错位，而非镜像站主动过滤或标注。
镜像站同步的是元数据快照，不是实时代理
国内镜像（如阿里云、腾讯云）对 packagist.org 的同步是定时全量拉取：每天数次或按变更事件触发，生成 packages.json、p/vendor/name.json 等静态文件并推送到 CDN。它不校验 ZIP 包内容完整性，也不扫描 PHP 代码安全风险。
这意味着：
- 镜像不会“清洗”掉某个版本的包——只要 Packagist 上还存在
v2.3.1，镜像就会同步过去；哪怕该 ZIP 实际已损坏，镜像也照搬不误 - 所谓“坏包”，99% 是指 Composer 下载 ZIP 后解压失败（
Failed to extract），这通常源于：vendor/composer/installed.json记录的哈希值与实际 ZIP 解压后内容不一致，或 ZIP 本身在传输中截断 - 镜像站页面显示“404 Not Found” for a package？大概率是同步任务尚未覆盖到该新包，或上游已删除但镜像还未轮询清理（冷门包延迟可达数小时）
Composer 客户端从不验证包内容，只比对哈希
Composer 安装时只做两件事：下载 ZIP、校验 SHA256 哈希。它不运行代码、不查漏洞、不解析 composer.json 结构合法性。哈希匹配就解压，不匹配就报 Corrupted archive 并停住。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
关键点：
- 哈希值来自镜像站提供的
p/vendor/name.json，而该文件又源自 Packagist —— 所以哈希错误，要么是上游写错了，要么是镜像同步时抓到了中间态脏数据（极少见） - 如果你手动删了
~/.composer/cache/files/下某个包的 ZIP，下次 install 会重下，但依然用旧哈希校验；若镜像站已更新该包哈希，而你本地缓存的p/vendor/name.json没刷新，就会卡在校验失败 - 没有“坏包标记”机制：Composer 不会在缓存里给某个 ZIP 打上
corrupted: true标签，也不会跳过它去试下一个版本
真正需要人工干预的三个污染点
当遇到“明明镜像有包却报 404”或“反复 Failed to extract”，问题不在镜像站是否“清洗”，而在本地状态与远程元数据脱节。必须检查以下三处：
-
~/.composer/cache/repo/https---mirrors-aliyun-com-composer/：这里存着packages.json和所有provider-*.json。若修改时间 >30 分钟，说明元数据已过期，需删掉整个目录让 Composer 重拉 -
composer.lock：它固化了每个包的 exact version + dist URL + sha256。如果镜像站已下线该 ZIP（比如包被作者删了），而 lock 文件还指着它，Composer 就会死在Downloading https://mirrors.aliyun.com/composer/dists/... -
vendor/composer/installed.json：记录当前已安装包的真实哈希。若某次中断导致 ZIP 下载不全，这个文件里的哈希仍是旧值，下次 update 会误判为“已安装”，跳过重拉
如何判断是镜像同步问题，还是本地缓存污染
别猜，用命令直接比对：
- 查镜像是否真有该包：
curl -I https://mirrors.aliyun.com/composer/p/monolog/monolog.json→ 看 HTTP 状态码和Last-Modified时间 - 查本地元数据是否陈旧：
ls -l $(composer config --global cache-dir)/repo/https---mirrors-aliyun-com-composer/packages.json - 强制绕过所有缓存验证源地址：
composer show monolog/monolog -d repo.packagist=https://mirrors.aliyun.com/composer/ --no-cache - 若仍 404，说明镜像站确实没同步到；若成功，说明你本地缓存或配置有问题
最易被忽略的是：镜像 URL 末尾少斜杠，会导致请求拼成 https://mirrors.aliyun.com/composerpackages.json —— 这种 404 不是同步问题，是配置写错了。
