安全的 Composer 中文镜像配置必须保留官方签名验证能力，仅代理元数据（如 packages.json），包文件仍从 packagist.org 官方 CDN 下载并校验 dist.shasum；否则会因 signature 字段缺失导致校验降级，引发供应链投毒。
安全的 Composer 中文镜像配置，不是“换源就完事”，而是必须保留 packagist.org 的签名验证能力，仅让镜像代理元数据（如 packages.json），包文件仍走官方 CDN 并校验 dist.shasum。否则，composer install 会静默跳过完整性校验，拉下来的 vendor/ 可能已被篡改。
为什么 composer config -g repo.packagist 是高危操作？
这条命令会彻底替换官方源，导致 signature 字段丢失——国内所有主流镜像（阿里云、腾讯云、清华）都不生成也不透传该字段。Composer 2.5+ 检测不到 signature 时自动降级为无校验模式，攻击者只要污染镜像缓存，你部署的就是带后门的代码。
- 现象：类能加载、接口能跑通，但某天发现日志写入陌生域名或
post-install-cmd静默执行 - 根本原因：镜像只是 HTTP 缓存代理，不参与签名生成；只有
packagist.org的 HTTPS 响应才带signature - 后果：
--no-dev和--optimize-autoloader完全无效，供应链投毒已发生
正确配置：启用元数据镜像 + 强制签名验证
目标是让 packages.json 走镜像加速，但 ZIP 包仍从官方源下载并校验。这需要两步分离式设置：
- 关闭旧式源替换：
composer config -g repo.packagist false - 启用元数据镜像：
composer config -g repos.packagist.type composer，再执行composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/（注意末尾斜杠/） - 强制签名验证：
composer config -g security.signature true - 确保 HTTPS 强制生效：
composer config -g secure-http true（默认已开，禁用等于自毁）
验证是否生效：composer diagnose 输出中必须同时出现 secure-http: OK 和 signature verification: OK。
项目级配置比全局更可靠，尤其在 CI/CD 中
全局配置在 Docker 构建或宝塔计划任务里常因用户权限失效（比如 www 用户读不到 root/.composer/config.json），而项目级配置写进 composer.json，可 Git 跟踪、CI 环境一致、新人拉即用。
- 进项目根目录运行：
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（无-g） - 该命令会向
composer.json的repositories字段安全追加"packagist"键，不覆盖已有私有源 - 若
repositories已是数组结构（非对象），别手动编辑——先转成对象再运行命令，否则会清空原有配置 - CI 脚本开头建议加一句：
composer config -g --unset repos.packagist，避免缓存干扰
容易被忽略的关键点
composer.lock 不是摆设，它是离线防劫持的最后一道闸——只要它完整且提交进 Git，composer install 就完全不发网络请求，只从 ~/.composer/cache/files 读取 ZIP 并比对 dist.shasum。镜像宕机、DNS 劫持、中间人攻击，全被挡在门外。但前提是：lock 文件里每个包的 shasum 字段必须存在且为 64 字符（SHA-256），否则校验逻辑根本不会触发。
