布隆过滤器无法防护镜像源站穿透，因其仅适用于预知集合的“存在性判断”，而composer包名无限开放、不可穷举，镜像同步本身不处理实时http请求，真正穿透发生在用户install时fallback至packagist.org，防御需靠项目级"packagist": false切断回源路径。
布隆过滤器在 Composer 镜像同步引擎里不解决“源站穿透”，它根本没机会介入那个环节——镜像同步是 pull 操作，而穿透是用户 install 时的查询行为。
为什么布隆过滤器无法防护镜像源站穿透
镜像同步（如阿里云、腾讯云 Composer 镜像）本质是定时 composer archive 或 git clone + 元数据抓取，把 packagist.org 的 packages.json 和 dist tarball 复制到本地。这个过程不接收终端用户的实时请求，也不存在“大量无效包名查询打穿源站”的场景。
所谓“源站穿透”，实际发生在下游用户执行 composer install 时：若镜像未命中包，Composer 默认 fallback 到 packagist.org 查询，此时恶意或错误的包名（如 acme/invalid-package）会真实发往官方源——这才是穿透。
- 布隆过滤器只能拦截“已知不存在”的 key，但镜像服务本身不维护全量合法包名集合（包名动态增长、命名无约束）
- 同步引擎不处理 HTTP 请求，
has($package)无调用入口 - 即使强行注入布隆过滤器，也无法覆盖所有可能的 composer 包命名空间（vendor/name 格式自由度极高）
真正起作用的是 composer.json 的 "packagist": false
防止 fallback 到 packagist.org 的唯一可靠方式，是在项目级关闭默认源。这不是防御策略，而是切断路径：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须在
composer.json根层级写"packagist": false，不是"packagist.org": false，也不是塞进repositories数组 - 设完后，所有包都必须显式声明来源，例如：
{"type": "composer", "url": "https://your-internal-repo.com"} - 如果某个包没被任何
repositories条目覆盖，composer install直接报错，而不是悄悄 fallback
镜像服务端可做的有限加固
镜像运营方能在 HTTP 层做轻量过滤，但和布隆过滤器无关：
- 对高频 404 的
/p/[vendor]/[package].json路径做限流或缓存空响应（TTL 60s），避免反复回源 - 用 Nginx
map或 Redis HyperLogLog 统计异常包名前缀（如xxx-hack-），临时屏蔽 IP 段 - 禁止非标准 User-Agent 访问元数据接口（如不含
Composer/字样）
这些措施不依赖布隆过滤器，也不保证 100% 拦截——因为合法包名本身就没法穷举。
误判率在这里不是技术问题，是设计前提
如果你真在镜像服务里硬塞一个布隆过滤器去判断包名是否存在，会立刻踩中它的本质缺陷：它只支持「添加后查询」，而包名集合是开放、不可预知的。你无法提前 add() 所有未来可能出现的合法包名，更不能 add() 所有恶意构造的非法包名（数量无限）。所谓「误判率可控」的前提是集合边界清晰，而 Composer 生态没有这个边界。
