答案是签名验证未启用、lock文件可能被篡改、vendor目录可被Web访问；需运行composer config -g security.signature-verification true启用签名，删vendor与composer.lock后重建锁文件，并配置Web服务器禁止/vendor/路径访问。
Composer install 报错，90% 不是安全问题，而是配置错、缓存脏、归属乱——但真要排查安全风险，得跳过“重装”“换源”这类惯性操作，直奔签名验证、锁文件可信度和 vendor 访问控制这三个硬点。
composer show --security 返回 disabled 怎么办
这说明 Packagist 包签名验证没开，所有包都只校验 hash，不验作者签名，攻击者一旦污染了你的 composer.lock 或镜像源，就能无声植入恶意代码。
- 必须用 Composer 2.5+：运行
composer --version确认，低于2.5.0的版本压根不支持该功能 - 全局启用签名检查：
composer config -g security.signature-verification true（注意不是security-signature-verification，少个点就静默失败） - 验证是否生效：
composer show --security输出里必须含Signature verification: enabled；若仍显示disabled，说明配置没写进~/.composer/config.json，可手动检查该文件是否存在"security": {"signature-verification": true} - 仅对 Packagist.org 上「作者主动签名」的包有效；私有源或未签名包不受保护，不能因此放松对
auth.json和仓库 HTTPS 的要求
composer.lock 被篡改过怎么识别
composer.lock 是信任链起点，它被改过，后续所有校验都白搭。但 Composer 不会主动告诉你它被动了手脚，得靠比对和重建。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先看修改时间：
ls -l composer.lock，如果时间早于你最近一次git pull或人工编辑，大概率被动过 - 检查 hash 是否匹配源码：运行
composer install --dry-run，它会报出“lock file is not up to date”，此时别信提示，直接删掉composer.lock和vendor/，再跑composer update --lock重建 - 关键细节：重建时必须确保当前
composer.json是干净的 Git HEAD，且没被本地require临时改过；否则新 lock 还是带毒 - CI/CD 中尤其危险：某些流水线用
composer install --no-interaction跳过确认，却没做git checkout -- composer.lock校验，等于默认接受上游篡改
vendor/ 目录能被 Web 直接访问怎么办
这不是“可能被访问”，而是只要 vendor/autoload.php 能被 GET 到，就大概率暴露绝对路径、类映射甚至触发解析错误——这是生产环境的高危配置，不是开发阶段的小疏忽。
- Nginx 必须加阻断规则：
location ^~ /vendor/ { return 403; }，不能只靠deny all，因为正则匹配优先级更高 - Apache 需确认
.htaccess生效：在vendor/下放一个测试文件，用 curl 访问看是否返回 403；若返回 200，说明AllowOverride None锁死了规则加载 - 最稳妥做法：把 Web root 设为
public/，确保vendor/、src/、composer.json全部在 DocumentRoot 外；CI 部署脚本里禁止出现cp -r vendor public/这类操作 - 额外检查点：
ls -la public/ | grep vendor，只要输出非空，就得立刻清理并审计部署流程
签名验证、lock 文件重建、vendor 访问控制，三者缺一不可。最容易被忽略的是第二点：没人会盯着 composer.lock 的 git diff，但它一旦被绕过，前面两步全失效。
