答案是必须删除composer.lock并重装以重建哈希一致性，因镜像切换后旧锁文件中的dist.sha256与新镜像包不匹配；需同步清除vendor和composer.lock，切回官方源执行composer install生成新锁文件，再等待同步延迟后切回镜像。
换中文镜像不会自动更新 composer.lock，哈希不一致不是镜像的问题，而是锁文件和当前源之间“时间差”与“校验上下文错位”的结果——必须重建锁文件，而不是调镜像配置。
为什么切了阿里云/腾讯云镜像后 composer install 还报 hash verification failed
因为 composer.lock 里存的 dist.sha256 是旧快照下的哈希值，而新镜像返回的 zip 包是另一时刻生成的（尤其新 tag 刚发、镜像同步延迟 10–30 分钟），两者天然不匹配。Composer 不会“聪明地”重算哈希，它只比对。
- 镜像只是代理通道，不参与 lock 文件生成逻辑
-
composer install默认复用现有composer.lock，哪怕你刚切了镜像 - 删
vendor/没用，composer.lock里的错误哈希还在 - 运行
composer clear-cache也无效，缓存清了，lock 文件没变
怎么确认当前生效的镜像源是不是你以为的那个
很多人执行了 composer config --global repo.packagist composer https://mirrors.aliyun.com/composer/ 就以为搞定了，但实际请求可能根本没走到镜像站。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查全局配置：
composer config -g repos.packagist，正确输出应为{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}；如果还是packagist.org，说明没设上（Composer 2.2+ 已废弃repo.packagist键名，要用repos.packagist.org） - 检查项目级覆盖：
composer config repositories，若出现"type": "vcs"或自定义 URL，全局镜像直接失效 - 手动测通断：
curl -I https://mirrors.aliyun.com/composer/packages.json，必须秒回HTTP/2 200才算真通；卡住、返回 HTML 或 301，说明镜像服务异常或 DNS 解析失败
真正有效的修复步骤：双清 + 官方源重装
唯一能对齐元数据、缓存、镜像与锁文件的操作，是让 Composer 从同一时刻的源拉取完整元数据并重新生成 composer.lock。
- 先备份：
cp composer.lock composer.lock.bak - 彻底清除：
rm -rf vendor composer.lock（Windows 用rd /s /q vendor & del composer.lock） - 切回官方源保真：
composer config -g --unset repos.packagist.org（或显式设为https://packagist.org） - 重装生成新锁：
composer install——此时拉取的是 packagist.org 的 packages.json 快照，所有dist.sha256都来自同一时刻 - 等 10–30 分钟再切回阿里云镜像；着急就换华为云，已知同步更快
CI/CD 中反复失败的隐藏点
GitHub Actions/GitLab CI 默认不继承本地全局配置，且某些平台（如 Laravel Envoyer）会静默注入 repositories 字段，覆盖你配的镜像。
- 必须在 workflow 中显式执行镜像设置命令，不能只靠本地配置
- 构建缓存若保留了旧
composer.lock或损坏缓存，会导致每次composer install都失败 - 推荐加
composer update --refresh（≥2.5），它丢弃所有已缓存的packages.json，强制从当前源重拉，比clear-cache更彻底
哈希校验本身很轻量，问题从来不在它太严，而在于你没让元数据、缓存、镜像、composer.lock 这四者对齐。任何跳过“双清 + 官方源重装”的操作，都只是在掩盖症状。
