Composer不支持fallback，因repo.packagist为单值配置，后设覆盖前设；容灾核心是composer.lock存在、本地缓存命中且启用HTTPS+签名验证。
Composer 本身不面临 DDoS 攻击，真正被攻击的是你配置的镜像源（如 https://mirrors.aliyun.com/composer/）或官方源 https://packagist.org。但你**不需要、也不应该**为 Composer 做 DDoS 防御——它只是个客户端工具，没有网络服务端口，不接收外部连接。所谓“防御”，本质是**保障依赖安装过程在源站宕机或受攻击时仍能可靠执行**。
为什么 Composer config -g repo.packagist 不支持 fallback？
因为 repo.packagist 是一个单值配置项，不是数组。执行两次 composer config -g repo.packagist composer https://a.com 和 composer config -g repo.packagist composer https://b.com，后者会直接覆盖前者——不会叠加、不报错、也不重试。
常见错误包括：
- 在命令中用空格拼两个 URL：
composer config -g repo.packagist composer https://a.com https://b.com→ 实际只生效第一个，或命令解析失败 - 在
composer.json的repositories数组里加多个镜像 → 这些仅用于非 Packagist 类型源（如私有包），元数据请求仍走repo.packagist单一配置，不参与 fallback
如何让 Composer 在 Packagist 宕机时继续工作？
关键不是“换源”，而是构建离线可用链路。真正起效的只有三件事同时成立：
-
composer.lock文件必须存在且未被篡改（它是唯一可信的依赖快照） - 本地缓存中已有对应 ZIP 包（路径：
~/.composer/cache/files/），且哈希校验通过 - 镜像源配置仅用于元数据拉取，且启用签名验证（
security.signature = true）
推荐配置组合：
composer config -g repos.packagist.type composer composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ composer config -g security.signature true
注意：repos.packagist（带 s）才是正确字段名；用 repo.packagist（无 s）会静默失效。执行后运行 composer diagnose，确认输出含 secure-http: OK 和 signature verification: OK。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
镜像源 HTTPS 强制要求与签名绕过风险
所有现代 Composer 版本（2.2+）拒绝 HTTP 镜像源，http:// 会被直接拦截。这是安全底线。
但更隐蔽的风险在于：如果仅执行 composer config -g repo.packagist composer https://mirrors.example.com 而没开启签名验证，Composer 会跳过包签名校验——一旦镜像缓存被污染（例如中间人劫持或镜像站同步异常），就可能装入恶意 ZIP 包。
所以必须配对使用：
- HTTPS 镜像地址（确保传输加密）
-
security.signature = true（强制校验packages.json签名） -
composer install优先读composer.lock，而非实时查源（这才是容灾核心）
最易被忽略的一点：你无法靠“多配几个镜像”来提升可用性，composer install 的可靠性完全取决于 composer.lock 是否完整 + 本地缓存是否命中 + 签名是否校验通过。其他都是幻觉。
