必须同步删除 vendor/ 和 composer.lock 再切回官方源重装，因为 composer install 默认复用旧 lock 文件中的 dist.sha256 哈希值，与镜像包不匹配导致校验失败。
必须同步删除 vendor/ 和 composer.lock，再切回官方源重装——只清缓存、只删 vendor/ 或硬换镜像，95% 的情况都无效。
为什么删 vendor/ 后跑 composer install 还报错
因为 composer install 默认复用现有 composer.lock，而这个文件里存的 dist.sha256 值已经和当前镜像返回的包不一致了。删 vendor/ 只清安装物，没动元数据源，Composer 仍拿旧哈希去比对新下载的 zip，必然失败。
- Windows 用户必须同时执行：
rd /s /q vendor & del composer.lock - Linux/macOS 是：
rm -rf vendor composer.lock - 删之前建议先备份：
cp composer.lock composer.lock.bak - 别用
composer update替代——它会改版本，掩盖原始哈希失效问题
怎么确认当前生效的镜像源是不是你以为的那个
很多人运行了 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 就以为搞定了，但请求可能根本没走到镜像站。Composer 2.2+ 已废弃 repo.packagist 键名，必须用 repositories.packagist.org。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 查全局配置：
composer config -g repositories.packagist.org，正确输出应为{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}（注意末尾斜杠） - 检查项目级覆盖：
composer config repositories，若出现"type": "vcs"或自定义 URL，会直接绕过全局镜像 - 手动测通断：
curl -I https://mirrors.aliyun.com/composer/packages.json，必须秒回 HTTP/2 200；卡住、返回 HTML 或 301，说明镜像服务异常
删锁文件后该用哪个源重装才可靠
先切回官方源保真，让 Composer 拉取同一时刻的完整元数据快照，生成带当前有效哈希的新 composer.lock。国内镜像普遍有 10–30 分钟同步延迟，尤其遇到新发版或 tag 重推时，不能靠“换一个镜像”碰运气。
- 切回官方源：
composer config -g --unset repositories.packagist.org - 清缓存：
composer clear-cache - 重装生成新锁：
composer install（此时会拉取https://packagist.org/packages.json全量元数据） - 等 15–30 分钟后再切回阿里云镜像；着急可换华为云，已知同步更快
真正卡点不在网络连不通，而在 composer.lock 里的哈希值和镜像实际提供的包不匹配——这个不一致一旦固化，所有后续操作都只是在错误前提下循环验证。动手前先看一眼 composer.lock 里报错包的 dist.sha256 字段，再 curl 对应 dist URL 看响应体是否含相同哈希，就能快速锁定是本地锁文件滞后，还是镜像源本身还没同步完。
