唯一真正有效的操作是同步删除vendor和composer.lock后运行composer install，因为旧lock文件中硬编码的dist.sha256与新镜像包不匹配，仅清缓存、换镜像或只删vendor均无效；需确认镜像真实生效并排除系统时间、代理、php扩展等环境干扰。
校验和不匹配不是缓存脏了，是 lock 文件和包内容彻底对不上
直接删 vendor 和 composer.lock 再跑 composer install，才是唯一真正生效的操作。只清缓存、只换镜像、只删 vendor，都会复现错误——因为 composer.lock 里硬编码的 dist.sha256（或 shasum）没更新，重装时仍拿旧哈希去比对新下载的 zip 包，必然失败。
为什么删完 vendor 还报错？因为你没动 composer.lock
composer install 默认严格复用现有 composer.lock，哪怕你刚清过缓存、换过镜像。只要 lock 文件里存的是旧 tag 的哈希（比如作者重推了 v2.3.0），而镜像已返回新版 zip，校验就铁定失败。
- Linux/macOS 必须执行：
rm -rf vendor composer.lock - Windows 必须配对执行：
rd /s /q vendor & del composer.lock，漏掉del composer.lock就白干 - 删之前建议先备份：
cp composer.lock composer.lock.bak
怎么确认镜像源真生效了，而不是在“假配置”
很多人以为运行了 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 就搞定了，其实请求可能根本没走到镜像站。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查全局配置：
composer config -g repos.packagist，输出必须是{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}，否则没设上 - 查项目级干扰：
composer config repositories，如果出现"type": "vcs"或自定义 URL，会直接绕过镜像 - 手动验证通断：
curl -I https://mirrors.aliyun.com/composer/packages.json，必须秒回HTTP/2 200才算真通；企业内网 TLS 握手卡死时，可临时关 SSL 验证：composer config -g secure-http false（完事后务必恢复）
修复流程顺序不能乱，跳步等于白做
当前时间是 2026 年 7 月，阿里云镜像同步延迟仍在 10–30 分钟区间，尤其对新发版或 dev 分支。别在同步中途强行指定镜像源。
- 先切回官方源保真：
composer config -g --unset repos.packagist（或显式设为https://packagist.org） - 清缓存：
composer clear-cache - 删干净：
rm -rf vendor composer.lock（Windows 用rd /s /q vendor & del composer.lock） - 重装生成新锁：
composer install --prefer-dist——此时拉取的是同一时刻快照，所有哈希值天然对齐 - 等 30 分钟再切回阿里云镜像；着急就换华为云，已知同步更快
真正难排查的 case 往往不在 Composer 本身，而在环境层：系统时间不准、PHP OpenSSL 扩展异常、代理篡改响应体、磁盘写入错误——这些都可能导致哈希计算失准，但表现一样是 checksum verification failed。
