答案：清空缓存后仍报hash verification failed，根本原因是composer.lock中硬编码的dist.sha256哈希值与当前下载内容不匹配，且vendor/残留旧文件干扰校验；必须同步删除vendor/和composer.lock，再执行composer install --no-cache --force-checksums重建。
清空缓存后仍报 hash verification failed，说明问题不在缓存文件本身，而是 composer.lock 里存的哈希值已失效，或 vendor/ 目录残留旧文件干扰校验。
为什么 clear-cache 后还校验失败
composer clear-cache 只删 ~/.composer/cache/files/ 下的 ZIP 包，但不会动 composer.lock 里的 dist.sha256 字段。一旦镜像源同步滞后、包被重推、或你之前用过不一致的源，lock 文件中记录的哈希就和新下载内容对不上——install 阶段一比就炸。
- 错误典型提示：
hash verification failed、Content-Length mismatch、Corrupted zip file - 执行
composer install -v时，会明确打出 “Verifying archive integrity…” 然后失败，说明它正拿 lock 里的哈希去验刚下下来的 ZIP - 即使换回官方源，只要
composer.lock没更新，照样失败
必须同步清理 lock 和 vendor 才能重置校验上下文
只删缓存、只删 vendor、只删 lock —— 这三者任一单独操作都无效。校验链条是：lock → 下载 → 解压 → vendor。断掉任意一环，就会在下一环暴露不一致。
- 删
vendor/但保留composer.lock：install 会照着旧哈希去拉包，拉来的新 ZIP 哈希不匹配，直接失败 - 删
composer.lock但保留vendor/：install 会生成新 lock，但 vendor 里是旧文件，verify-checksums 一跑就报 mismatch - 正确做法：一次性清空两者，再用强制校验模式重建
执行以下命令（Linux/macOS）：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
rm -rf vendor composer.lock<br>COMPOSER_EXPERIMENTAL=1 composer install --no-cache --force-checksums
Windows 用户用：
rd /s /q vendor & del composer.lock<br>set COMPOSER_EXPERIMENTAL=1 & composer install --no-cache --force-checksums
验证是否真修复：用 verify-checksums --strict
composer install 成功 ≠ 文件没被篡改。它只校验下载包解压前的 ZIP 哈希；而 verify-checksums --strict 是唯一能校验 vendor/ 里实际文件内容的命令，且必须加 --strict 才会失败退出（CI 中尤其关键）。
- 不设
COMPOSER_EXPERIMENTAL=1，该命令根本不可见 - 不加
--strict，哪怕发现 mismatch 也只警告并返回 0，CI 会误判为通过 - 它跳过
type: "path"包和没有dist.sha256的包，但不会报错——容易漏检私有包 - 特别注意：
vendor/autoload.php被包含在校验范围内，但它没对应哈希记录，手动改它必导致 verify-checksums 失败
镜像源切换后仍失败？检查 repos.packagist 配置细节
很多人执行了 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，但日志里依然出现 packagist.org——说明配置根本没生效。
- 键名必须是
repo.packagist，不是repos.packagist（多一个 s 就写进无效字段） - type 值必须显式写
composer，命令里不能省略：composer config -g repo.packagist composer https://... - URL 末尾必须带斜杠：
https://mirrors.aliyun.com/composer/，少一个会重定向或 404 - 验证是否生效：
composer config -l | grep repo.packagist，输出应含完整 URL
最危险的是：autoload.php 这类关键引导文件完全游离在校验体系之外，被注入恶意代码时 Composer 无法感知——所以生产部署前，vendor 必须设为只读，且需额外断言 autoload.php 未被篡改。
