直接换镜像源会关闭签名验证，因阿里云等镜像不透传signature字段，导致composer install静默跳过gpg验签；安全配置须同时满足：repos.packagist.type为composer、url为https且末尾带/、启用security.signature true，并通过composer diagnose确认secure-http: ok和signature verification: ok。
直接换镜像源会关闭 Composer 的包签名验证，不是“更安全”，而是主动放弃校验能力——所有主流中文镜像（阿里云、腾讯云、清华源）都不透传 signature 字段，composer install 会静默跳过 GPG 验签，一旦缓存污染或同步延迟，就可能装入篡改过的代码。
为什么 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 是危险操作
这条命令把官方源彻底替换成镜像源，而镜像站不生成也不转发 packages.json 中的 signature 字段。Composer 拿不到签名，就自动禁用完整性校验，且不报任何错误。
- 抓包可见：
packages.json来自镜像，但dist.zip实际从非预期域名下载（比如被劫持的 CDN） - 典型现象：CI 构建成功，线上运行时触发未声明的
post-install-cmd，或vendor/中文件哈希与composer.lock不匹配却无提示 - 验证方式：运行
composer diagnose，若输出中缺失signature verification: OK，说明校验链已断
真正生效的安全配置必须同时满足三个条件
安全 ≠ 快，而是元数据可加速、包文件可验证、签名锚点不丢失。只做其中一两步，等于白配。
-
repos.packagist.type必须显式设为composer（不能省略） -
repos.packagist.url必须是 HTTPS 地址，且末尾带/（如https://mirrors.aliyun.com/composer/） - 必须启用签名强制验证：
composer config -g security.signature true，并确认secure-http未被关闭
执行后再次运行 composer diagnose，只有同时出现 secure-http: OK 和 signature verification: OK 才算真正启用。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
项目级配置比全局更可控，但结构容易出错
全局配置在 CI、Docker、宝塔等环境常因用户权限或路径缺失失效；项目级写进 composer.json 更可靠，但格式稍有偏差就会导致镜像不生效或私有源被清空。
- 如果
"repositories"是对象（{}），可用composer config repo.packagist composer https://mirrors.aliyun.com/composer/安全追加 - 如果已是数组（
[]），必须手动编辑，在首位插入{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}，并确保根节点有"packagist.org": false - 切勿漏掉
"packagist": true条目——否则新发布的包可能因镜像元数据延迟而报Could not find package
镜像再快也救不了 composer.lock 缺失或损坏
生产部署依赖 composer.lock 固化版本和哈希值。它不存在、被 .dockerignore 忽略、或没提交进 Git，composer install 就会退化为 update 行为，重新解析依赖树、发起大量网络请求，甚至装出意外版本。
- 验证是否真走 lock 流程：删掉
vendor/和composer.lock，运行composer install --no-dev --no-scripts --no-autoloader，若报错Your lock file does not contain a compatible set of packages，说明之前根本没走 lock - 部署命令必须带
--prefer-dist，否则可能回退到source模式（Cloning），完全跳过shasum校验 -
composer.lock中任意包的dist块若缺少非空shasum字段，校验即失效，需人工快照比对
最易被忽略的一点：镜像配置本身不解决漏洞问题，composer update 仍按 composer.json 约束重算依赖树，不会自动升到含修复的补丁版；得靠 composer audit 定位具体版本，再手动指定升级。
