安全配置需保留官方签名验证链，仅代理元数据：执行composer config -g repos.packagist.type composer、composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/，并启用security.signature true，确保composer diagnose显示signature verification: OK。
中文镜像源配置本身不等于安全，必须保留签名验证链
只换镜像源（比如 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/）会直接关闭包签名验证——因为国内镜像站不提供 signature 字段，Composer 会 fallback 到无校验模式，拉下来的 zip 包无法确认是否被篡改。
真正安全的配置是：保留官方源的信任链，仅把元数据请求代理到镜像，包文件仍走带签名的官方通道。
- 执行
composer config -g repos.packagist.type composer（不是repo.packagist） - 再执行
composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 强制开启签名验证：
composer config -g security.signature-verification true - 确认生效：
composer diagnose输出中必须有signature verification: OK
如果 composer diagnose 显示 signature verification: disabled，说明你误用了 repo.packagist 键名，或镜像 URL 写成了 http:// 协议（触发 secure-http 拒绝）。
require 命令执行前，先确认包是否在 FriendsOfPHP/security-advisories 数据库中
composer audit 对中文扩展基本无效——它只匹配 Packagist 官方注册的包名 + 精确版本哈希。而多数中文扩展是 fork（如 w7corp/wechat）、私有包、或未提交漏洞通告的维护者，audit 直接跳过，且不提示。
别等装完才发现风险，执行 composer require 前应人工核验：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer show w7corp/wechat，检查source字段是否指向 GitHub 仓库，且 stars ≥ 300、最近 6 个月内有 commit - 打开 Packagist 页面，确认作者邮箱已标记为
Verified（非@gmail.com或含admin/root的可疑邮箱） - 检查
composer.json中autoload.files是否包含可疑路径（如./shell.php）或危险函数调用痕迹（需本地grep -r "eval\|system\|unserialize" vendor/w7corp/wechat/src/）
若包名是 dev-master 或带 dev- 前缀，composer audit 一定不查——它根本不处理开发分支。
装完后必须手动刷新 autoload 并检查服务提供者注册
ThinkPHP/Laravel 等框架下，composer require 只下载代码，不自动注册服务提供者或复制配置文件。类找不到（Class not found）90% 是这个原因，不是镜像或权限问题。
- 打开
config/app.php（TP8）或config/app.php（Laravel），确认'providers'数组里已加入扩展的服务提供者类（如think\captcha\CaptchaService::class） - 检查项目根目录
composer.json是否含"dont-discover": ["*"]—— 若有，删掉或改为具体排除项（如["laravel/framework"]） - 强制重生成自动加载映射：
composer dump-autoload，否则新类永远不被识别 - 命令行工具类（如
topthink/think-migration）必须加--dev参数安装，否则php think migrate会报Command "migrate" is not defined
注意：composer install 或 composer update 都不能替代 composer require 来引入新包——前者只恢复锁文件已有依赖，后者才触发完整流程。
vendor 目录权限和 Web 访问控制是最后一道防线
即使镜像配置正确、包也经人工核验，vendor/ 目录一旦被 Web 服务器直接访问，就可能暴露 autoload.php 的路径信息或触发错误泄漏，成为攻击入口。
- Nginx 必须加阻断规则：
location ^~ /vendor/ { return 403; } - Apache 需确保
.htaccess在vendor/下生效，内容为：Deny from all - 检查部署脚本是否误把
vendor/复制进public/目录（CI/CD 中cp -r vendor public/是高危操作） - 修复本地权限：
chmod 700 ~/.composer、chmod 600 ~/.composer/auth.json，避免凭据泄露
权限问题常被误判为“镜像慢”或“require 失败”——实际是 vendor/ 下部分文件属主为 root（比如 Docker 中用 root 跑过 install），导致当前用户无法写入 autoload 文件，此时 sudo chown -R $USER:$USER vendor/ 才是正解，而非 chmod -R 777。
