根本原因是镜像同步延迟、本地元数据缓存过期及项目级repositories配置覆盖全局镜像三者叠加，导致Composer获取的dist.sha256与实际下载包不一致；应先对比官方源与镜像源的p/vendor/package-name.json版本及哈希值，再清理provider-*.json缓存并检查项目级配置是否屏蔽全局镜像。
根本原因不是镜像“有问题”，而是镜像同步延迟 + 本地缓存 + 项目级配置叠加，导致 Composer 拿到的元数据和 Packagist 官方不一致——校验自然失败。
怎么确认是镜像源同步延迟而不是本地环境问题
别急着换源或删缓存。先做两件事：
- 打开浏览器，访问
https://packagist.org/packages/vendor/package-name（把vendor/package-name换成你报错里提到的包），看最新版是否存在、是否带正确dist.sha256 - 再访问对应镜像地址，比如阿里云：
https://mirrors.aliyun.com/composer/p/vendor/package-name.json，对比版本号、dist.sha256是否一致 - 如果镜像返回 404 或版本明显旧（比如官方已发 v3.1.0，镜像还卡在 v3.0.9），就是同步延迟；如果两者一致，问题在别处
注意：腾讯云、阿里云镜像通常有 5–30 分钟延迟，华为云相对快些，但高峰期仍可能滞后。
为什么 composer clear-cache 无效，以及真正该清什么
composer clear-cache 只清 ~/.composer/cache，它影响的是已下载的 zip 包缓存，不影响元数据（packages.json、provider-*.json）的本地副本。而校验不一致往往源于过期的 provider 文件。
- 手动删掉
~/.composer/cache/repo/https---mirrors.aliyun.com-composer/下所有provider-*.json文件（保留packages.json） - 或者更干脆：运行
composer clear-cache && rm -rf ~/.composer/cache/repo/https---mirrors.aliyun.com-composer/provider-*.json - Windows 用户用
del /q "%COMPOSER_HOME%\cache\repo\https---mirrors.aliyun.com-composer\provider-*.json"
这样强制 Composer 下次 install 或 update 时重新拉取元数据，跳过本地 stale 缓存。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
项目级 repositories 配置会彻底绕过全局镜像
很多人在 composer.json 里写了 "repositories" 字段，却不知道它会直接屏蔽 composer config --global repo.packagist 的设置。
- 运行
composer config --list | grep repositories，看repositories.packagist.url是不是你预期的镜像地址 - 如果项目
composer.json里有"repositories": [{ "type": "composer", "url": "..." }]，检查那个url是否有效、是否已停更（比如还在用https://packagist.phpcomposer.com） - 临时验证：删掉项目
composer.json中的repositories块，再跑composer install—— 如果成功，说明是项目配置覆盖了镜像
尤其注意私有源配置：如果 "type" 写成 vcs 或漏写 type，Composer 会 fallback 到 Git 模式，完全不走镜像加速，也拿不到正确的 dist.sha256。
系统时间偏差会导致校验链式失败
这最容易被忽略：如果系统时间比真实时间快或慢超过 3 分钟，HTTPS 证书验证就会失败，Composer 下载中途被截断 → zip 包不完整 → 解压后内容 hash 不对 → checksum verification failed。
- Linux/macOS：运行
timedatectl status或date看是否准确 - Windows：右下角时间右键 → “调整日期/时间” → 开启“自动设置时间”
- CI 环境常见于 Docker 镜像未同步宿主机时间，可用
docker run --rm --privileged alpine date -s "$(date -u +%m%d%H%M%Y.%S)"临时修正
哪怕镜像源、PHP 版本、锁文件全对，时间歪了，校验照样崩——它不是网络层问题，而是 TLS 层就断了。
