Composer客户端不参与DDoS防御，无边缘清洗或缓存平刷功能；其“镜像不可用”实为HTTP请求失败，且错误响应会被缓存导致后续卡死，需手动清理repo缓存或使用--no-cache；无自动fallback机制，容灾依赖外部脚本探测与切换；HTTPS强制与签名验证是保障安全与稳定的关键。
Composer 客户端本身不参与 DDoS 防御，也不存在“边缘清洗”或“缓存平刷”机制——这些是镜像源服务端（如阿里云、腾讯云、中科大）的运维能力，不是 Composer 可配置或触发的功能。
Composer 不处理网络层攻击，只消费 HTTP 响应
你看到的“镜像不可用”，本质是 curl 或 PHP 的 stream_context 在请求 https://mirrors.aliyun.com/composer/packages.json 时超时、返回 503 或 TLS 握手失败。Composer 既不感知攻击类型，也不做流量调度或清洗决策。它只按配置的 URL 发一次 GET 请求，失败就报错，不会重试，更不会自动切到备用地址。
- 所谓“边缘清洗”属于 CDN/高防厂商（如网宿、阿里云盾）在四层或七层拦截 SYN Flood、UDP Flood 的能力，Composer 完全无感
- “缓存平刷”是镜像站后台的同步策略（比如用 rsync + CDN 预热），Composer 客户端无法控制或观察其执行节奏
- 如果你在 CI 中看到
Connection timed out或Failed to download ... 503 Service Temporarily Unavailable，问题不在本地，而在你配置的镜像 URL 当前不可达
镜像宕机时 Composer 的真实行为：缓存污染比连接失败更致命
当镜像站返回 502/503 响应，Composer 默认会把整个响应体（包括 HTML 错误页或空内容）缓存进 ~/.composer/cache/repo/https---mirrors-aliyun-com-composer/ 下的 packages.json。下次 composer update 直接读这个坏文件，连网络请求都不发——表现为“完全卡死”，但日志里看不到任何 curl 输出。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer clear-cache不清元数据缓存目录（repo/），必须手动删：rm -rf $(composer config --global cache-dir)/repo/https---mirrors-aliyun-com-composer - 临时验证是否真卡在缓存：运行
ls -l $(composer config --global cache-dir)/repo/，看对应镜像目录下packages.json的修改时间是否为最近几秒（说明刚写入错误响应） - CI 环境建议加
--no-cache参数强制跳过所有缓存，避免复用损坏元数据：composer install --no-cache -v
如何让构建在镜像抖动时不中断？靠预置+探测，而非 fallback
Composer 没有 fallback 机制，repo.packagist 是单值字段，写两次就覆盖。所谓“容灾”，其实是用外部脚本实现动态切换 + 缓存隔离。
- 先确保
composer.lock存在且未被篡改——这是唯一可信的依赖快照，哪怕所有镜像都挂了，只要 ZIP 包在本地缓存中，composer install仍能完成 - 用
curl -I -s -o /dev/null -w "%{http_code}" https://mirrors.ustc.edu.cn/composer/packages.json探活，返回非 200 就换源 - 每次换源后必须执行
composer config -g repo.packagist composer https://new-mirror.com/composer/（注意末尾/），再立刻rm -rf $(composer config --global cache-dir)/repo/* - 不要在
composer.json里写"repositories": []——这会让全局repo.packagist失效，导致所有元数据请求走默认官方源
HTTPS 强制与签名验证是唯一可控的安全边界
Composer ≥ 2.2 要求镜像 URL 必须是 HTTPS，HTTP 地址会被静默拒绝。同时启用 security.signature = true 后，它会校验每个 ZIP 包的 SHA256 签名，哪怕镜像站被中间人劫持或返回脏包，也能在解压前拦截。
- 设置命令：
composer config -g security.signature true - 验证是否生效：
composer diagnose输出中必须有signature verification: OK - 别信“临时关 signature 过 CI”的做法——一旦关闭，恶意镜像可替换任意包而不被发现
- 中科大、清华源等教育网镜像普遍启用签名，阿里云镜像需确认其
packages.json中provider-includes字段含.sig后缀路径
真正决定构建稳定性的，不是你选哪个镜像，而是能否在镜像失效时快速识别缓存污染、能否保证 composer.lock 和本地 ZIP 缓存始终可用、以及是否强制启用了签名验证——这三件事缺一不可，其余都是锦上添花。
