唯一能彻底解决哈希不一致的路径是删 vendor 和 composer.lock、禁用镜像、用 --no-cache --force-checksums 重装；因缓存不清 lock 文件哈希、镜像同步延迟、网络未关、php 版本错配等导致三端（lock、镜像源、本地缓存）失同步。
直接删 vendor 和 composer.lock，禁用镜像，用 --no-cache --force-checksums 重装——这是唯一能彻底解决哈希不一致的路径。
为什么 composer clear-cache 不够用
缓存只存下载下来的 dist 包，但 composer.lock 里硬编码的哈希值（如 dist.sha256）没变。镜像源返回的包元数据和 lock 文件对不上，校验就必然失败。清缓存后 composer install 还是拿旧哈希去比新包，等于白清。
-
composer clear-cache只影响~/.composer/cache/，不影响项目级composer.lock - 国内镜像（如阿里云、腾讯云）常有同步延迟：
packages.json缺autoload字段、dist.sha256没随新 tag 更新、CDN 中间层篡改响应体 - 错误不是“包被改了”，而是 Composer 在比对时发现本地 lock、实际下载内容、镜像源元数据三者不一致
离线环境也报 hash verification failed？那是网络开关没关
即使 vendor/ 和 composer.lock 都完整，composer install 默认仍会尝试联网校验包是否存在、URL 是否可访问。不关网络，所有 --no-xxx 参数都无效。
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 必须设环境变量：
COMPOSER_DISABLE_NETWORK=1 - 加参数：
--no-plugins --no-scripts --no-autoloader，防止插件或脚本隐式触发网络请求 - 全局镜像配置残留也会 fallback 校验：运行
composer config --global repo.packagist false彻底禁用
PHP 版本不一致导致的“校验失败”其实是假象
看到 This package requires php ^8.3 but your PHP version (8.1.25) does not satisfy that requirement，不是哈希真错了，而是 Composer 用 CLI 的 PHP（php -v）去解析依赖，而 Web 环境跑的是 PHP-FPM 8.3。两者版本不统一，autoload 生成逻辑不同，后续必崩。
- 临时方案：用完整路径调用目标版本，例如
/usr/bin/php8.3 composer install - 伪装方案：在
composer.json加"platform": {"php": "8.3.0"}，仅影响依赖解析，不改实际运行环境 - 装完立刻补一记：
composer dump-autoload -o，否则运行时报Class not found
真正容易被忽略的是：哈希不一致从来不是“文件损坏”，而是三端（lock 文件、镜像源、本地缓存）状态失同步。修复动作必须覆盖全部三端，且顺序不能错——先断网/切源，再清锁和 vendor，最后强制重装。任何跳步都会让问题复现。
