composer config -g repo.packagist 是高危操作，因会全局替换 packagist 源并丢失 signature 元数据，导致 composer 2.5+ 跳过完整性校验，使 vendor/ 代码可能被篡改而不报错。
为什么composer config -g repo.packagist是高危操作
这条命令会彻底替换官方源，导致 signature 字段丢失。阿里云、腾讯云等镜像站不提供 composer-signature 元数据，Composer 2.5+ 检测不到签名时自动跳过完整性校验——你拉下来的 vendor/ 代码可能已被篡改，但类照常加载、接口照常响应。
常见错误现象：
-
composer install成功，日志里却出现signature verification: disabled - 执行
composer diagnose输出中缺少signature verification: OK - 某天发现
vendor/里多出未声明的curl_exec调用或异常域名写入逻辑
repos.packagist 和 repo.packagist 的区别必须分清
键名拼错就会静默失效：写成 repos.packagist（多一个 s）、packagist.org 或大小写混用，Composer 2.x 都会忽略，直接 fallback 到 https://packagist.org，且不报错。
验证是否真正生效，只看这一行输出：
composer config -g repo.packagist
必须返回完整 JSON 对象，例如：
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}
如果返回空、null、Key does not exist，或只有 URL 字符串，说明配置失败。
关键点：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
repo.packagist是唯一合法键名（单数、小写、无s） -
composer是必需的type值，不能省略 - URL 必须以
https://开头，且末尾带/（漏掉会拼成/compositorpackages.json，404）
项目级配置比全局更可控，但容易清空私有源
执行 composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加 -g）会全量替换 composer.json 中的 repositories 字段——你原本配置的 Git 私有包源、企业 Nexus 源都会被清空。
安全做法是手动编辑 composer.json：
- 确保
repositories是数组（[]），不是对象（{}） - 首位放镜像源：
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"} - 已有私有源保留在同一数组中，顺序无关
- 不要写
"packagist.org": false，否则 PHP 扩展校验会失败
改完后必须删掉 vendor/ 和 composer.lock，再运行 composer install（不是 update）。
composer.lock 是离线防劫持的最后一道闸
只要 composer.lock 完整提交进 Git，composer install 就完全不发网络请求——它只从 ~/.composer/cache/files 读 ZIP 并比对 dist.shasum。
但前提是：
-
dist.shasum字段必须存在，且为 64 字符（SHA-256）；32 字符（MD5）的旧 lock 文件不触发校验 - 不能加
--ignore-platform-reqs或--no-suggest等绕过选项 - CI 流水线建议加
composer install --no-scripts --no-plugins，观察是否出现Hash does not match报错
最容易被忽略的是：换镜像后不删 composer.lock，里面记录的仍是 packagist.org 的 dist URL 和 hash，下载路径和校验值都对不上，安装必然中断。
