必须同步删除vendor和composer.lock，因校验失败根源是composer.lock中硬编码的dist.sha256与新包不匹配；仅清缓存、换镜像或单删vendor均无效，须确保镜像源生效、系统时间准确且四者对齐。
为什么只清缓存或换镜像没用
因为Checksum validation failed错误的根源不在缓存目录，而在composer.lock里硬编码的dist.sha256值。这个哈希是上一次生成锁文件时记录的，和当前镜像返回的包内容可能已不一致。你执行composer clear-cache，只是清掉~/.composer/cache/或%APPDATA%\Composer\Cache里的zip缓存，composer.lock里的旧哈希完全不动；删了vendor/再跑composer install，它仍会拿着这个旧哈希去比对新下载的包，必然失败。
必须同步删除vendor和composer.lock
这是唯一能打断旧校验链的操作。删掉这两样，composer install就不再“复原”，而是被迫从头拉取元数据、重新解析依赖、生成全新composer.lock——里面所有dist.sha256都来自同一时刻快照，自然对得上。
- Linux/macOS：
rm -rf vendor composer.lock - Windows：
rd /s /q vendor & del composer.lock - 删之前建议先备份：
cp composer.lock composer.lock.bak
切回官方源再重装，别急着换镜像
国内镜像（尤其是刚发布包的几小时内）常有同步延迟，阿里云通常10–30分钟，腾讯云偶发503，华为云可能数小时滞后。此时若直接切镜像重试，大概率拿到的是“半同步”状态：元数据更新了，但对应包的sha256还没同步，校验照样崩。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先切回官方源保真：
composer config -g --unset repos.packagist.org（Composer 2.5+ 后repo.packagist已废弃，必须用repos.packagist.org） - 确认清缓存完成：
composer clear-cache输出含Clearing cache (all) - 再跑
composer install——这时会完整拉取packages.json，所有哈希值对齐
镜像配置写错会导致请求根本没走镜像
很多人以为composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/就设好了，但Composer 2.5+ 已弃用该键名，实际请求仍打向packagist.org。更隐蔽的是项目级配置会覆盖全局设置。
- 查全局生效源：
composer config -g repos.packagist.org，输出应为{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}（注意末尾斜杠） - 查项目是否覆盖：
composer config repositories，若出现"type": "vcs"或自定义URL，全局镜像失效 - 手动验证通断：
curl -I https://mirrors.aliyun.com/composer/packages.json，必须秒回HTTP/2 200；卡住、返回HTML或301说明镜像异常
真正起作用的不是“换镜像”，而是让composer.lock里的哈希与下载包严格对齐。这要求四者同步：镜像源内容、本地锁文件、缓存状态、系统时间（偏差＞5分钟也会触发签名验证失败）。漏掉任意一环，都可能看起来修好了，过两天又崩。
