Composer镜像必须字节级透传provider-*.json的sha256哈希，否则2.5+会报hash mismatch；阿里云Q3起默认启用，腾讯云需手动开启verify-signature，旧镜像直接失效。
Composer 镜像的包完整性巡检不能只看 packages.json 能否返回——真正出问题的 provider 文件哈希不一致，往往要等到装某个具体包时才暴露。
provider-*.json 文件哈希必须字节级一致
Composer 2.5+ 强制校验每个 provider-*.json 文件的 sha256 值，该值写在 packages.json 的 provider-includes 字段里。镜像若只是简单转发 HTTP 响应、不解析并透传原始哈希，就会触发 hash mismatch in provider file 错误。
- 阿里云镜像自 2025 年 Q3 起默认启用「哈希透传」：读上游
packages.json，提取所有provider-*.json的声明哈希，确保镜像返回内容字节级一致 - 腾讯云镜像需手动开启：运行
composer config -g repos.packagist.options.verify-signature true，否则即使文件存在，也会因哈希不匹配被拒绝 - 旧镜像（如 phpcomposer.com）直接替换 URL 路径但不处理哈希字段，在 2.5+ 下必报错
怎么验证镜像是否真支持哈希打散？别只跑 composer install
很多镜像能返回 packages.json，但 provider-*.json 哈希已失效，错误要等到装某个特定包时才暴露。实操验证步骤如下：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer config -g repos.packagist，确认输出是{"type":"composer","url":"https://mirrors.aliyun.com/composer/"} - 找一个项目里用到的包（比如
laravel/framework），查它的 provider 文件名：curl -s https://mirrors.aliyun.com/composer/packages.json | jq -r '.provider-includes | keys[] | select(contains("laravel"))' - 对比镜像与官方源的该文件哈希：
curl -s https://mirrors.aliyun.com/composer/p/provider-laravel~10.0.json | sha256sum和curl -s https://repo.packagist.org/p/provider-laravel~10.0.json | sha256sum，两者必须完全一致
verify-checksums --strict 是唯一能扫 vendor 的命令
这个命令从 Composer 2.5 起存在，但属于实验功能，必须显式启用环境变量才能用。它逐包读取 vendor/ 目录，计算实际文件 SHA256，并与 composer.lock 中 dist.sha256 字段比对。
- 必须加
COMPOSER_EXPERIMENTAL=1才能调用：COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict - 不加
--strict时，哪怕发现不匹配也只警告并返回 0，CI 流水线会误判为成功 - 它跳过
type: "path"或没有dist.sha256字段的包（如老旧私有包），但不会报错，容易漏检 - 注意：
verify-checksums不校验vendor/composer/autoload_*.php这类生成文件，只校验原始 dist 包发布的结构
vendor/autoload.php 不在任何哈希链路里，必须单独防护
vendor/autoload.php 是个固定引导文件，内容恒为 require_once __DIR__ . '/composer/autoload_real.php';。它被注入恶意代码后，composer dump-autoload 完全无感，因为该命令只生成映射文件，不读取、不校验它本身。
- 这个文件不在
composer.lock的哈希覆盖范围内，也不出现在installed.json的校验字段中 - 生产环境应设为只读：
chmod -R a-w vendor/ - CI 中可用
grep -q "autoload_real\.php" vendor/autoload.php || exit 1快速断言其未被篡改 - 不要依赖它“看起来没变”——它根本不在 Composer 的完整性保障设计范围内
