Composer不支持零信任安全发布，无GPG签名认证能力，也不验证发布者身份；其dist.sha256仅为内容哈希，不绑定作者、不防元数据污染、不覆盖source安装及vendor生成文件；真正GPG验证需手动校验Git tag或启用Packagist元数据签名（≥2.2且配置security.signature-verification true）。
composer 本身不支持“零信任安全发布”这种说法——它没有 GPG 签名认证能力，也不验证包发布者身份。所谓“基于 GPG 签名认证的企业组件下发”，实际是绕过 composer 原生机制、靠外部钩子或定制流程实现的增强控制。
为什么 composer verify-signature 不存在且不能用
截至 composer 2.7.x（2026 年 6 月最新稳定版），官方从未实现 verify-signature 命令。任何文档里出现该命令，基本是混淆了 Packagist 后端签名逻辑与用户端能力。第三方插件如 composer/composer-signature-checker 已多年未维护，在 PHP 8.1+ 上会因调用废弃的 openssl_pkey_get_public 直接 fatal error。
dist.sha256 不是签名，只是哈希值
composer.lock 中的 dist.sha256 字段是内容哈希，不是密码学签名：
- 它不绑定作者身份：同名同版本包，只要哈希一致，
composer install就放行 - 它不防元数据污染：镜像源若替换
dist.url却没同步原始哈希，校验仍“成功” - 它不覆盖
--prefer-source场景：走 Git 克隆时，整个哈希校验链被跳过 - 它不保护
vendor/autoload.php等生成文件：这些不在校验范围内
企业真正能落地的 GPG 验证路径
想验证“谁发布的”，必须跳出 composer 自动流程，手动介入：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 确保已导入维护者公钥：
gpg --keyserver keyserver.ubuntu.com --recv-keys ABCDEF1234567890 - 克隆 VCS 仓库：
git clone https://github.com/vendor/package.git - 检出 tag 并验证：
git tag -v v2.3.4—— 输出含Good signature且密钥指纹匹配才算可信 - 在
composer.json中显式引用该 tag："vendor/package": "dev-main#v2.3.4"或配置 VCS 仓库 +minimum-stability: stable
注意：如果上游没打 GPG tag，或你没导入对应公钥，git tag -v 会报 Can't check signature: No public key —— 这不是 composer 的问题，是发布方或验证环境缺失。
CI 中强制启用 Packagist 元数据 GPG 验证
Packagist 自 2021 年起对 packages.json 等元数据做 GPG 签名，composer ≥ 2.2 支持自动校验。漏掉这步，等于信任整个包索引页，而索引页本身可能被供应链攻击污染：
- 确认版本：
composer --version必须 ≥ 2.2 - 导入公钥：
curl -s https://packagist.org/keys/packagist.pub | gpg --dearmor > /usr/share/keyrings/packagist.gpg - 启用验证：
composer config -g security.signature true - 验证生效：
composer update -vvv中看到Verifying packages.json signature且无报错
最关键的容易被忽略点：必须同时满足 secure-http: OK 和 signature verification: OK —— 缺一不可。前者防中间人劫持元数据，后者防伪造索引。
