content-length mismatch 错误本质是网络丢包，不是代码问题；常见诱因包括wifi中断、企业代理劫持https、cdn缓存不同步、tls握手失败后静默续传；官方源国内直连不稳定，应优先切换阿里云镜像并清缓存重试。
Content-Length mismatch 错误本质是网络丢包，不是代码问题
出现 Content-Length mismatch 报错时，Composer 已明确告诉你：收到的字节数（如 received 123456 bytes）和响应头声明的长度（如 expected 789012）对不上。这不是你 composer.json 写错了，也不是包本身有问题，而是 ZIP 包在传输途中被截断或缓存污染了。
常见诱因包括：WiFi 中断、企业代理劫持 HTTPS、CDN 缓存不同步、TLS 握手失败后静默续传。官方源 packagist.org 在国内直连极不稳定，阿里云镜像同步延迟低、HTTPS 可靠，应优先切换。
- 全局换源：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 确认生效：
composer config -l | grep repo.packagist输出必须含完整 URL（末尾带斜杠） -
https://packagist.phpcomposer.com已停用，强行配置会触发同样错误甚至空响应
清缓存比重试更重要，坏文件会持续复用
composer install --retry=3 只是重发请求，对已写入一半的坏 ZIP 文件毫无作用。Composer 默认把下载的 ZIP 存在 ~/.composer/cache/files/，一旦缓存损坏，后续所有安装都会复用它，直到你手动清理。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 必须先执行：
composer clear-cache（看到All caches cleared.才算成功） - 验证缓存清空：
ls -la $(composer config cache-dir)/files/应无任何.zip文件 - 再运行：
composer install --no-cache --retry=3，--no-cache强制跳过本地缓存，直连下载 - Windows 用户注意缓存路径是：
C:\Users\用户名\AppData\Roaming\Composer\cache
verify-checksums --strict 是唯一能暴露落地文件损坏的命令
composer install 只校验下载 ZIP 包解压前的哈希，而 verify-checksums --strict 才真正打开 vendor/ 目录，递归读取每个文件字节流，重新计算 SHA256 并与 composer.lock 中的 dist.sha256 比对——这才是“文件是否真完整”的最终判据。
- 必须启用实验模式：
COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict - 不加
--strict仅警告且返回 0，CI 流水线会误认为成功 - 它跳过
type: "path"包或无dist.sha256字段的老包，也**不校验vendor/composer/autoload_*.php等生成文件** - 如果
autoload.php被手动改过，该命令会直接失败——它虽关键，但完全游离在校验体系外
别忽略 TLS 和 OpenSSL 配置这类底层干扰
某些企业网络或老旧系统会深度干预 HTTPS 流量，比如中间代理解密再重签证书、强制降级 TLS 版本，导致传输数据被篡改或截断。Composer 无法自动识别这类干扰，但你可以快速验证：
- 临时关闭 TLS 校验（仅诊断用）：
composer config -g disable-tls true和composer config -g secure-http false - 检查 OpenSSL 是否启用：
php -m | grep openssl，没输出说明php.ini中extension=openssl被注释了 - 若使用
--prefer-source（即走 git clone），整个哈希校验流程会被绕过，verify-checksums也会跳过该包——CI 中务必避免混用
最危险的是：autoload.php 这类引导文件既不在 dist.sha256 记录中，也不受 install 或 verify-checksums 保护。生产部署前，建议将 vendor/ 设为只读，并额外断言该文件未被篡改。
