中文镜像本身不会导致 composer.lock 的 hash 冲突，真正原因是镜像配置不一致、本地缓存残留与 platform 字段漂移三者叠加，使同一 composer.json 在不同机器生成 content-hash 不同的 lock 文件。
中文镜像本身不会导致 composer.lock 的 hash 冲突，真正出问题的是镜像配置不一致 + 本地缓存残留 + platform 字段漂移——三者叠加让同一份 composer.json 在不同机器上生成了 content-hash 不同的 lock 文件。
为什么换镜像后 composer.lock 突然报 mismatched hash
这不是镜像“改了包”，而是镜像源返回的元数据（如 dist.sha256、dist.url）和官方源存在微小差异，尤其当：
- 某台机器用的是阿里云镜像（
https://mirrors.aliyun.com/composer/），另一台用腾讯云（https://mirrors.cloud.tencent.com/composer/），两者同步延迟不同，同一 tag 可能指向不同 commit - 本地
~/.composer/cache里存着旧镜像源下载的包元数据，composer update --lock会复用缓存，但 hash 计算基于当前源响应 -
platform字段因 PHP 小版本差异（如"php": "8.2.12"vs"php": "8.2.15"）被自动写入 lock，而不同镜像源对 platform 的校验宽松度不同
如何验证是不是镜像导致的 hash 不一致
别猜，直接比对两台机器生成的 lock 文件关键字段：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer show --platform，确认php、ext-intl、lib-curl输出完全一致 - 检查
composer config -g repo.packagist.org，确保所有机器都指向同一个镜像 URL（推荐统一用https://mirrors.aliyun.com/composer/） - 临时切回官方源跑一次：
composer config -g repo.packagist.org https://repo.packagist.org，再执行composer update --lock，看是否 still mismatch —— 如果一致了，就是镜像源不一致的问题
修复已发生的 hash 冲突（实操步骤）
核心原则：锁文件必须由同一镜像源 + 同一 platform + 清空缓存后重建。
- 先统一镜像：
composer config -g repo.packagist.org https://mirrors.aliyun.com/composer/ - 清掉本地缓存：
rm -rf ~/.composer/cache（Mac/Linux）或del /q %USERPROFILE%\AppData\Roaming\Composer\Cache（Windows） - 删掉冲突的
composer.lock（不要保留任何一方） - 确保
composer.json已无 Git 冲突，且"config": { "sort-packages": true }已启用 - 运行
composer update --lock—— 正常输出应为Lock file operations: 0 installs, 0 updates, 0 removals
CI 和多环境部署时最容易忽略的一点
CI 容器里如果用了 --no-cache 或预装了旧版 Composer，它可能仍从旧镜像缓存读元数据。必须在 CI 脚本开头显式重置：
composer config -g repo.packagist.org https://mirrors.aliyun.com/composer/composer clear-cache-
composer install --dry-run前先做composer validate --strict，失败就立刻退出
镜像只是加速手段，不是契约的一部分；真正决定 lock 是否合法的，是 composer.json 内容、platform 环境、以及所有机器使用的镜像源是否严格一致——少一个环节，hash 就不可复现。
