Composer不会自动校验已安装包的完整性；确认是否真在比对SHA-256需检查composer.lock中dist.shasum非空、运行composer install -v观察是否出现Downloading+Extracting（而非Cloning）、清缓存后重装看是否卡在Downloading；vendor/autoload.php被篡改不报错因其不在dist哈希覆盖范围内，且dump-autoload不校验它；手动校验需结合composer show --locked与installed.json比对或CI中用tar快照哈希比对；--prefer-source、--no-scripts、path类型包及镜像未同步均会导致校验失效。
Composer 不会自动校验已安装包的文件完整性，composer install 成功不代表 vendor/ 里的代码没被篡改——这是生产环境最常被忽略的安全盲区。
怎么确认当前安装是否真在比对 SHA-256？
不能只看有没有报错，得验证校验逻辑是否实际触发：
- 检查
composer.lock中任意一个包的dist块，确认存在非空shasum字段（如"shasum": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855"）； - 运行
composer install -v，观察输出中是否出现Downloading https://...+Extracting archive—— 这是走 dist 下载路径；若看到Cloning，说明走的是 source，完全不校验哈希； - 临时清空缓存：
composer clear-cache，再执行composer install --no-dev --prefer-dist，如果卡在Downloading后无响应，很可能是哈希校验失败被静默阻断（部分旧版 Composer 行为）。
为什么 composer install 没报错，但 vendor/autoload.php 被改了也不提醒？
vendor/autoload.php 只是个固定引导文件，内容就是 require_once __DIR__ . '/composer/autoload_real.php'。它被篡改后，composer dump-autoload 完全不读取或校验它，也不会报错。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer dump-autoload只重新生成vendor/composer/autoload_*.php，和autoload.php本身无关； - 这个文件不在
composer.lock的哈希覆盖范围内，因为它不属于 dist 包解压后的原始内容（而是 Composer 安装时生成的）； - 生产环境应将整个
vendor/设为只读（chmod -R a-w vendor/），防止运行时被覆盖或注入。
如何手动触发一次 vendor 文件与 lock 的 SHA 校验？
没有一键命令，但可组合实现轻量级比对：
- 用
composer show --locked --format=json提取所有包的dist.sha256和路径映射； - 读取
vendor/composer/installed.json，提取每个包的dist-sha256（注意字段名可能为shasum或dist-sha256）； - 逐个比对两者是否一致：不一致说明该包被篡改或安装异常；
- CI 中更推荐快照式校验：用
find vendor/ -type f -not -path 'vendor/bin/*' -not -path 'vendor/composer/*' -print0 | xargs -0 sha256sum | sha256sum生成目录整体哈希，和上一次构建快照比对（排除vendor/bin/和installed.json等动态内容）。
哪些配置会让哈希校验彻底失效？
这些常见操作会绕过或禁用完整性校验，必须严格规避：
-
composer install --prefer-source或全局配置"preferred-install": {"*": "source"}：改走 git clone，完全跳过dist.shasum； -
composer install --no-scripts --no-plugins：某些 Composer 版本会因此跳过哈希比对钩子； - 使用
"type": "package"或"type": "path"的本地包：Composer 默认不为其生成或校验 dist hash； - 镜像源未同步：国内镜像若缓存了旧版 zip，而 Packagist 已更新但未同步，
dist.url和实际下载内容不一致，哈希可能“碰巧”匹配但内容已非原始作者发布。
真正难防的不是传输篡改，而是缓存污染和 source 安装绕过——校验逻辑只在 dist 下载那一刻生效，之后 vendor 就彻底脱离 Composer 的监管。离线审计、只读权限、CI 快照比对，这三者缺一不可。
