直接换镜像源不安全，因阿里云等镜像不提供signature字段导致Composer降级为无校验模式；安全做法是分离元数据（走镜像）与包文件（走官方源），并强制启用签名验证。
直接换镜像源不等于安全——阿里云、腾讯云等公共镜像默认跳过包签名验证，composer install 会静默关闭完整性校验，供应链投毒风险真实存在。
为什么 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 不安全
这条命令本质是**完全替换官方源**，而国内镜像站不提供 packages.json 中必需的 signature 字段。Composer 2.2+ 检测不到该字段时，自动降级为无校验模式，所有 .zip/.tar 包都不做哈希比对。
- 镜像只是 HTTP 缓存代理，不参与签名生成与验证流程
-
repo.packagist配置会覆盖packagist.org的元数据入口，连带丢弃其签名响应头 - 哪怕 URL 是 HTTPS，只要没 signature 字段，
composer diagnose就会显示signature verification: disabled
真正安全的配置：保留官方源 + 强制签名 + 元数据走镜像
Composer 2.2+ 支持分离元数据（packages.json）和包文件（dist）的请求路径。安全做法是让元数据请求走国内镜像（加速），但包下载仍走官方或带校验的 CDN，并强制启用签名验证。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 启用签名验证：
composer config -g security.signature true - 设置可信镜像（仅代理元数据）：
composer config -g repos.packagist.type composer，再执行composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 确保 HTTPS 强制开启：
composer config -g secure-http true（默认已开，勿手动关） - 验证是否生效：
composer diagnose输出中必须同时出现secure-http: OK和signature verification: OK
项目级配置容易踩的坑
在 composer.json 里写 "repositories" 字段时，若结构错误或键名错位，会导致签名验证被绕过且不报错。
- 不能写成
"repositories": [{"type": "composer", "url": "..."}]—— 这会覆盖默认源，失去 signature - 正确写法是显式声明 packagist 官方源并禁用其元数据，再单独加镜像：
"repositories": {"packagist.org": false, "aliyun": {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}} - 必须保证
packagist.org条目存在且设为false，否则 Composer 会 fallback 到无镜像无校验的老逻辑 - 删掉旧的
"repositories"字段后重跑composer install -vvv，日志里应看到Downloading https://packagist.org/p/...（包文件）和Reading https://mirrors.aliyun.com/composer/packages.json（元数据）混用
验证是否真在安全模式下运行
别信“命令执行成功”，必须查三处：
- 运行
composer config -g repos.packagist，输出应为{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}（注意是repos.packagist，不是repo.packagist） - 运行
composer diagnose，确认Repo.packagist.org行显示https://packagist.org（说明官方源仍在），且signature verification显示OK - 删掉
vendor/和composer.lock，执行composer install -vvv，日志中所有Downloading行必须含packagist.org或带校验的 CDN 域名，而非镜像域名
最易忽略的是：镜像只管元数据加速，包文件下载路径和签名验证链必须回到官方源。一旦 composer.lock 里 dist.url 指向镜像地址，就说明配置失效——得清缓存、删锁文件、重装。
