应使用“元数据代理+官方签名”安全加速模式，即禁用默认源、配置https镜像为元数据代理、强制启用security.signature true，而非简单换源；因镜像站不提供signature字段，直接换源会静默跳过完整性校验，导致恶意代码注入风险。
为什么直接换镜像源反而不安全
直接执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 看似解决了速度问题，实则默认关闭了包签名验证——因为阿里云、腾讯云等镜像站不提供 composer-signature 元数据字段，composer install 时会静默跳过完整性校验。攻击者一旦污染镜像缓存，你拉下来的 vendor/ 就是被篡改过的代码。
真正安全的前提是：保留 packagist.org 的元数据验证能力，仅把元数据请求（packages.json 等）代理到 HTTPS 镜像，而包文件（.zip/.tar）仍从官方或带校验的 CDN 下载。
-
composer config -g security.signature true—— 强制启用签名验证（Composer 2.2+ 默认未开启） -
composer config -g secure-http true—— 禁用 HTTP 源（默认已开，但手动确认更稳妥） - 镜像 URL 必须以
/结尾，否则拼接路径出错返回 404 - 不要用
repos.packagist（多一个s），新版 Composer 会静默忽略
如何配置“安全加速”组合：HTTPS 镜像 + 官方签名
Composer 2.5+ 支持将元数据请求走镜像，同时保持包下载走官方校验链路。关键不是“换源”，而是“代理元数据”。操作分三步：
- 先禁用默认兜底行为：
composer config -g repos.packagist false - 再添加可信 HTTPS 镜像作为元数据代理：
composer config -g repos.packagist.type composer和composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 最后启用签名验证：
composer config -g security.signature true
验证是否生效：composer diagnose 输出中必须同时出现 secure-http: OK 和 signature verification: OK。如果只看到前者，说明后者没配成功。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
项目级配置为何比全局更可控
全局配置在 CI/CD 或容器里容易失效：Docker 构建时不会继承宿主机的 ~/.composer/config.json；团队项目若自带 repositories 字段，会完全屏蔽全局设置且不提示。
- 老项目（
composer.lock中content-hash是 32 位 md5）应执行：composer config repositories.packagist.org false，强制按 lock 文件原始 dist URL 下载 - 新项目可显式声明：
composer config repositories.alipay composer https://mirrors.aliyun.com/composer/，生成兼容 Composer 2.9.6 的合并逻辑 - 华为云地址含
/repository/php/，漏掉/php/会 404；腾讯云地址末尾不能多加/，否则触发 cURL error 60
换源后仍报错或卡住，该查什么
镜像只影响元数据和 ZIP 包下载路径，不解决依赖解析、PHP 扩展缺失或缓存污染问题。
- 必做：
composer clear-cache—— 旧缓存里存的是官方源 URL 和 hash，不清掉，composer update仍可能校验失败 - 删掉
vendor/和composer.lock后重装 —— lock 文件里的 hash 来自旧源，和镜像元数据不匹配会导致安装中断 - 检查
composer diag中的Available repositories:行，确认显示的是镜像 URL 而非https://packagist.org - 容器中 Alpine 镜像需额外装证书：
RUN apk add --no-cache ca-certificates，否则 HTTPS 请求直接失败
安全链路最脆弱的一环，往往不是镜像本身，而是本地缓存、证书、或配置键名拼写错误——这些地方不报错，但会让整个签名验证形同虚设。
