composer config -g repo.packagist 是高危操作，因它彻底替换官方源，导致收不到 packagist.org HTTPS 响应中的 signature 字段，所有主流中文镜像均不生成/透传该字段，使 Composer 2.5+ 自动降级为无签名验证模式，埋下供应链投毒隐患。
直接换镜像源不等于安全，反而大概率关闭了 Composer 的签名验证链；真正起作用的配置必须让 packages.json 走镜像加速，但 ZIP 包仍从官方源下载并校验 dist.shasum，且 signature 字段必须存在并被验证。
为什么 composer config -g repo.packagist 是高危操作
这条命令会彻底替换默认源，导致 Composer 不再请求 packagist.org，自然收不到它 HTTPS 响应体里的 signature 字段。所有主流中文镜像（阿里云、腾讯云、清华）都不生成也不透传该字段，结果就是：安装成功、日志安静、验签静默跳过。
- 现象：
composer install成功，但线上某天突然执行未声明的post-install-cmd，或vendor/中文件哈希与composer.lock不符却无提示 - 抓包可见：
packages.json来自镜像，但dist.zip实际从非预期域名（如被劫持的 CDN）下载 - 根本原因：镜像只是 HTTP 缓存代理，不参与签名生成；只有
packagist.org的 HTTPS 响应才带signature
如何验证 signature verification: OK 真正生效
不能只看 composer diagnose 是否输出 secure-http: OK——这仅说明 HTTPS 通了，不代表签名在验。唯一可信依据是安装时的实际日志。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer install -v，逐行观察：必须出现Loading packages.json from https://...后紧跟着Verifying packages.json signature with key - 若只有
Loading packages.json，没有验签行，说明要么镜像没返回signature，要么公钥加载失败（检查composer config --global signing-key是否指向https://packagist.org/keys.json） -
openssl.cafile配置错误会导致keys.json下载失败，diagnose不报错，只能靠-v日志确认
composer install --verify 的实际作用与限制
--verify 是强制校验 dist 包 SHA-256 的唯一开关，但它不依赖镜像是否可信，只认 composer.lock 里是否含有效 dist.shasum。
- 必须确保每个包的
dist块含 64 位非空shasum字段，否则报Missing shasum for package xxx - 若看到日志中是
Cloning而非Downloading https://... + Extracting archive，说明走的是 source 模式，--verify完全无效 - 缓存仍会被使用，但校验发生在解压前——哪怕缓存文件已被篡改，也能当场中止
项目级配置比全局更可靠的关键细节
全局配置在 CI/CD、Docker 或宝塔中常因用户权限失效（比如 www-data 用户读不到 root/.composer/config.json），而项目级写进 composer.json 可 Git 跟踪、环境一致。
- 进项目根目录运行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（无-g），它会向repositories字段安全追加，不覆盖已有私有源 - 若
repositories已是数组格式，别手动编辑——先转成对象再运行命令，否则容易破坏结构 - 改完必须删掉
vendor/和composer.lock，否则旧锁文件可能绕过新配置逻辑
最易被忽略的一点：即使所有配置都对，只要 composer.lock 里某个包的 dist.shasum 为空（常见于私有源、"type": "package" 或作者只发 source），它的完整性就完全不校验——此时得靠外部快照比对，而不是信 composer install 的安静。
