镜像同步滞后导致“signature verification failed”：阿里云、腾讯云等中文镜像未及时同步packagist.org的dist.sha256或签名，使composer.lock中哈希与下载包不匹配；须同时删除vendor和composer.lock并切回官方源重装，再检查allow-plugins配置是否正确。
“Signature verification failed” 是镜像同步滞后导致的
这不是你本地环境坏了，也不是包作者签错了，而是国内镜像（阿里云、腾讯云等）没及时同步 packagist.org 上新发布的签名元数据。Composer 插件（type: composer-plugin）校验时会比对 dist.sha256 或 GPG 签名，而镜像返回的 dist 包内容和 composer.lock 里存的哈希值对不上——典型表现就是切回 https://packagist.org 就正常，一换镜像就报错。
- 镜像通常缓存 dist 包但不实时更新其 checksum 字段，尤其对刚打 tag 的版本
- 部分镜像代理层（如企业 CDN）可能篡改 HTTP 响应体，导致签名失效
-
repositories中混用type: vcs私有源时，其 dist URL 返回的包完全不在 Packagist 签名体系内
必须同时删 vendor 和 composer.lock 才能生效
只跑 composer clear-cache 或只删 vendor/ 没用——因为 composer.lock 里还锁着旧的、已失效的 dist.sha256 值，下次 install 仍会拿它去校验新下载的包。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 执行：
rm -rf vendor composer.lock（Windows 用rd /s /q vendor & del composer.lock） - 临时禁用镜像：
composer config -g --unset repos.packagist && composer config -g repo.packagist composer https://packagist.org - 重装：
composer install—— 此时拉取的是官方源最新元数据，生成带正确哈希的新composer.lock - 确认无误后，再决定是否切回镜像；建议等 30 分钟，或换华为云等同步更稳的源
allow-plugins 配置不正确会导致插件静默失效
即使签名校验通过，插件也可能根本不运行。Composer 2.2+ 默认拦截所有插件，allow-plugins 是硬性开关，不是可选项。
- 项目级必须在根
composer.json中显式声明："allow-plugins": ["vendor/plugin-name"] - 大小写敏感，不能用通配符（如
"*"或"vendor/*"） - 如果插件是全局安装的（
composer global require），需在全局配置中设：composer config -g allow-plugins.vendor/plugin-name true
SSL 证书问题会伪装成签名失败
当 PHP 的 OpenSSL 扩展找不到可信 CA 证书时，cURL 下载过程可能被截断或返回脏数据，导致后续校验必然失败。错误日志里常混着 cURL error 60 或 certificate verify failed，但最终表现为签名不匹配。
- 查当前证书路径：
php -r "print_r(openssl_get_cert_locations());"，重点关注default_cert_file - 若为空或路径不存在，手动下载最新
cacert.pem（来自curl.se），并配置curl.cainfo到php.ini - 别用
php -d openssl.cafile=...临时绕过——这解决不了 dist 包下载阶段的证书问题
composer.lock 本身已是“带毒”的快照，也不检查 allow-plugins 是否漏配。
