必须同步删除vendor和composer.lock后重装，因校验失败根源是composer.lock中硬编码的dist.sha256与新包不匹配；仅清缓存、换镜像或单删vendor均无效，须确保镜像源生效、系统时间准确且四者对齐。
哈希校验不匹配不是缓存问题，清缓存根本无效
“hash verification failed”或“Package checksum mismatch”这类报错，根本不是因为~/.composer/cache里文件坏了——composer clear-cache只会删本地缓存，而校验失败的根源在composer.lock里硬编码的dist.sha256值。Composer 安装时会拿这个哈希去比对刚下下来的 zip 包，哪怕镜像源只延迟了10分钟、tag被重推过、甚至PHP小版本不同导致platform字段写入差异，都会直接触发拒绝加载。
为什么删 vendor + 清缓存还不行？
只删vendor/目录、只跑composer clear-cache、只换镜像源，三者单独做都白忙。原因很实在：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer install默认复用composer.lock里的dist.url和dist.sha256，哪怕你已切阿里云镜像，它仍按旧lock里记录的官方URL去请求、再拿旧哈希去校验新包 - 国内镜像（如
https://mirrors.aliyun.com/composer/）元数据同步有延迟，尤其对刚发布的tag或重推的release，dist.sha256可能和官方源不一致 - 项目级
repositories配置存在时，全局repo.packagist设置完全失效，你以为换了源，其实压根没走
必须同步删除 vendor 和 composer.lock
真正有效的操作是“元数据+安装物”双清，否则校验逻辑永远卡死在旧锁文件上：
- 先备份：
cp composer.lock composer.lock.bak（别跳这步，lock里有精确版本约束） - 彻底清除：
rm -rf vendor composer.lock（Windows用rd /s /q vendor & del composer.lock） - 临时切回官方源保真：
composer config -g --unset repos.packagist（确认composer config -g repo.packagist输出为空） - 重装生成新锁：
composer install——此时会拉取packagist.org最新元数据，生成带当前有效哈希的新composer.lock
换回中文镜像前要等同步完成
阿里云镜像通常在10–30分钟内完成同步，别急着切回去。验证方式很简单：
- 切回镜像前，先手动访问
https://mirrors.aliyun.com/composer/p2/vendor/package.json（把vendor/package换成你报错的包名），看返回的dist.sha256是否和官方一致 - 确认无误后执行：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（注意末尾必须有/，且type隐含为composer） - 如果项目
composer.json里已有"repositories"字段，全局配置无效，得进项目根目录运行composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加-g）
最常被忽略的是：CI容器、宝塔面板、Docker环境里，~/.composer/config.json往往根本不存在或权限不对，全局镜像配置形同虚设。这时候必须靠项目级配置落地，而且得确认php.ini里openssl.cafile指向的是最新CA证书——否则连元数据都拉不下来，更别说校验了。
