Composer不提供一键校验已安装vendor完整性的命令，也无运行时自动重验机制；其SHA256校验仅在install/update时对dist包生效，手动复核需脚本实现。
Composer 本身不提供一键校验已安装 vendor 文件完整性的命令，也没有运行时自动重验机制；所谓“验证”，必须分两层理解：安装时的 dist 包哈希比对（默认开启），和安装后的手动/脚本化文件级复核（需自行实现）。
composer install 时的 SHA256 校验是怎么工作的
Composer 在 composer install 或 composer update 过程中，会对每个 dist 包（zip/tar）下载后立即计算 SHA256，并与 composer.lock 中该包的 dist.sha256 字段比对。不一致则中断并报错，例如：
Signature mismatch, package is corrupted
这个校验仅发生在安装/更新当时，且只覆盖 dist 类型包（即默认行为）。以下情况会绕过它：
- 用了
--prefer-source—— 改走 git clone，完全跳过哈希校验 - 包在
composer.lock中没有dist.sha256字段（常见于老旧包、私有源或旧版 Composer） - 手动删了
vendor/后用composer install --no-scripts --no-plugins—— 某些版本会跳过校验逻辑 - 自定义
repositories指向非 Packagist 源，且未提供合法dist元数据
为什么 vendor/autoload.php 被改了，composer dump-autoload 却不报警
composer dump-autoload 只负责生成 vendor/composer/autoload_*.php 映射文件，它不读取、不校验、也不关心 vendor/autoload.php 本身的内容。而这个文件只是个固定引导入口，内容为：
require_once __DIR__ . '/composer/autoload_real.php';
一旦被恶意替换（比如注入 eval($_GET['x'])），Composer 完全无感。它不会在任何阶段检查该文件是否被篡改——因为这不是设计目标。真正能发现这类篡改的，只有外部完整性扫描或只读文件系统防护。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
如何手动触发一次 vendor 文件与 lock 的哈希比对
没有内置命令，但可组合现成工具快速验证关键路径。推荐在 CI 中执行以下最小可行脚本：
composer show --locked --format=json | jq -r '.packages[] | select(.dist.sha256) | "\(.name) \(.dist.sha256) \(.dist.url)"' | while read name hash url; do<br> pkgdir="vendor/$(echo $name | cut -d'/' -f2)";<br> [ -d "$pkgdir" ] && (cd "$pkgdir" && find . -type f ! -path "./.git/*" ! -path "./tests/*" -print0 | sort -z | xargs -0 sha256sum | sha256sum | cut -d' ' -f1) | grep -q "$hash" || echo "MISMATCH: $name";<br>done
注意几个现实约束：
- 排除
.git/、tests/、examples/等非发布文件，否则哈希必不匹配 - 路径映射不总是
vendor/{vendor}/{name}，多命名空间包（如psr/log）需额外处理 - 若
composer.lock中包使用path或package类型，无dist字段，此法直接跳过 - 生产环境建议将
vendor/设为只读，让篡改行为在运行时立即失败，而非依赖事后扫描
composer audit 能不能代替文件完整性检查
不能。composer audit 查的是已知漏洞（CVE / Symfony advisory），不是文件哈希。它不检测：
- vendor 目录里某个
Helper.php被替换成恶意版本（只要版本号没变，audit 就看不见） - 包作者上传时就被投毒（audit 依赖 Packagist 元数据，不校验原始 zip 内容）
- 本地修改过的 fork 包（除非你显式配置
"type": "package"并提供安全字段）
它的价值在于“已知风险兜底”，不是“完整性守门员”。真正要防篡改，得靠三件事：锁文件 + dist 包哈希（安装时）、只读 vendor（运行时）、CI 中快照比对（交付前）。这三者缺一不可，而 audit 只是其中一环。
