Checksum mismatch需删vendor和composer.lock后重装以更新校验值；Content-Length mismatch则先clear-cache清损坏缓存，再换镜像源重试，二者触发阶段、原因及修复动作完全不同。
Checksum mismatch 和 Content-Length mismatch 看似都是“下载出问题”，但触发机制、排查路径和修复动作完全不同。不能用同一套操作硬套，否则反复失败。
怎么区分是 checksum mismatch 还是 content-length mismatch
看报错原文最准：
- 出现
Checksum mismatch、The checksum verification failed、sha256 does not match—— 是校验值对不上，问题在composer.lock里存的哈希 vs 实际下载包的哈希 - 出现
Content-Length mismatch、received X bytes out of the expected Y—— 是 HTTP 响应体字节数不对，问题在传输层（缓存损坏、代理截断、cURL 中断）
两者根本不在一个阶段：checksum 校验发生在文件下载完成、解压之前；Content-Length 检查发生在下载过程中、甚至还没写完临时文件时。
遇到 checksum mismatch 必须连 vendor 和 composer.lock 一起删
只删 vendor/ 不管用——composer install 会照着旧 composer.lock 里的错误哈希去比对新下载的包，必然再失败。
- 执行
rm -rf vendor composer.lock（Linux/macOS）或rd /s /q vendor & del composer.lock（Windows） - 先清掉可能干扰的镜像：
composer config -g --unset repos.packagist - 切回官方源保真：
composer config -g repo.packagist composer https://packagist.org - 再跑
composer install，让 Composer 从头拉元数据、生成全新composer.lock
别信“改镜像就能好”——如果镜像本身返回了和 packagist.org 不一致的 checksum（比如私有仓库或 fork 配置），换源只会让问题更隐蔽。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
遇到 content-length mismatch 先清缓存再换源，别碰 lock 文件
这个错和 composer.lock 无关，是本地缓存里存了一个半截的 zip 包。重装时 Composer 直接复用它，一校验长度就崩。
- 必须先运行
composer clear-cache，确认$(composer config cache-dir)/files/下没有残留.zip - 换国内稳定镜像（如阿里云）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer - 加
--no-cache强制跳过所有本地缓存：composer install --no-cache - 若企业网环境可疑，可临时禁用 TLS 校验辅助诊断：
composer config -g disable-tls true（修好后务必恢复）
注意：--retry=3 对已损坏缓存完全无效；cache-files-maxsize 调大也解决不了传输中断问题。
容易被忽略的底层干扰点
真正难定位的 case 往往卡在环境层，不是 Composer 配置问题：
- 系统时间偏差 > 3 分钟 → HTTPS 证书验证失败 → 下载中断 → Content-Length mismatch
- 公司代理或防火墙注入脚本、强制压缩 HTML、重写响应头 → 即便只动一个字节，checksum 就失效
- PHP 缺失 cURL 扩展，Composer fallback 到 stream 封装器 → 对 chunked 响应处理不稳 → 长度校验失败
-
composer.json里写了自定义repositories（尤其是type: vcs）→ 它返回的 dist URL 和 checksum 可能和 packagist.org 不一致 → 即便切官方源也报错
这些点不会直接写在报错里，但一旦存在，所有“标准操作”都会失效。
