镜像站不处理恶意大文件请求，因其仅静态分发合法固定大小的zip包，无上传接口与业务逻辑；所谓“大文件问题”实为客户端并发过高、缓存污染或临时目录冲突所致，须通过降并发、清元数据缓存、配多镜像及ci禁用干扰项协同解决。
Composer镜像站本身不处理恶意大文件请求的流量清洗——它根本不会收到这类请求。你看到的“大文件”（如 laravel/framework 的 dist ZIP）是合法、固定大小的包归档，镜像站只做 HTTP GET 静态分发，不解析、不解压、不校验内容合法性。所谓“恶意请求”，实际是下游 Composer 客户端配置失控引发的并发风暴或缓存污染，镜像站无权也无能力清洗。
为什么镜像站不设大文件限流规则
镜像站本质是 CDN + 反向代理层，所有包文件都来自 Packagist 官方同步，格式、大小、校验和（SHA256）在元数据中已固定。一个 monolog/monolog 的 3.6.1 版本 ZIP 永远是 124KB，不可能被“上传”或“注入”成 GB 级恶意文件。因此：
• 镜像服务端没有文件上传接口，不存在“接收大文件”的攻击面
• 所有响应都是 302 跳转到 CDN 或直接返回静态文件，无业务逻辑介入
• packages.json 和 p2/*.json 元数据最大不过几 MB，且经 gzip 压缩传输
真正触发“大文件感知”的其实是客户端行为
当 Composer 并发过高或缓存损坏时，你会误以为在下载“大文件”，实际是以下现象叠加：
• file_put_contents() 失败：多个进程抢写同名临时 ZIP（如 /tmp/composer_archive_abc123.zip），Linux 报 failed to open stream，Windows 卡在 copy(): failed to open stream
• 下载超时后重试堆积：单个包下载卡住（默认 300 秒），后续并发请求排队等待，日志里反复出现 Downloading https://mirrors.aliyun.com/composer/dists/xxx.zip
• 缓存中毒：镜像返回 502/503 后 Composer 把错误响应存进 ~/.composer/cache/repo/，后续请求直接读坏缓存，不再发网络请求——看起来像“全速下载失败”，实则是本地静默失败
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
应对方案必须落在 Composer 客户端侧
要避免被误判为“大文件攻击”而遭限流（如 429），唯一有效动作是收敛客户端行为：
• 全局降并发：composer config -g repos.packagist.org.concurrent-downloads 2（注意键名，不是旧版 http-max-concurrent-downloads）
• 强制多镜像 fallback："canonical": false 必须显式写在每个镜像配置里，否则只用第一个源
• 清元数据缓存而非全量清：composer update --refresh（≥2.5 才支持），它只删 packages.json 和 provider-*.json，不动已下好的 ZIP
• CI 中禁用干扰项：--no-dev --no-scripts --no-autoloader，三项漏一，构建时间可能多出 40%
复杂点在于：这些操作必须同时生效。单独调并发，镜像仍可能因元数据陈旧返回旧版本；只清缓存，不关 canonical，新镜像根本不会被轮到；CI 里没加 --no-dev，phpunit 的 provider JSON 就会额外拉取 3–5 个大包。镜像站只是通道，堵不住客户端自己挖的坑。
