Composer不支持HTTPS双向认证（mTLS），仅进行服务端证书的单向验证；其安全核心是packagist.org提供的signature字段校验，需通过repos.packagist.type composer + HTTPS镜像URL + security.signature true配置，并在composer diagnose中同时显示secure-http: OK和signature verification: OK才生效。
为什么 composer config -g repo.packagist 不能启用 HTTPS 双向认证
Composer 本身不支持 TLS 客户端证书（mTLS）这类 HTTPS 双向认证。它只做单向验证：检查服务端证书是否由可信 CA 签发、域名是否匹配、是否过期。所谓“双向认证配置”在 Composer 场景中是概念误用——你无法通过 composer config 或 config.json 指定客户端证书路径、私钥或 CA bundle。
镜像源（如阿里云、腾讯云）也**不提供也不要求** mTLS 连接。它们是公开 HTTP 缓存代理，面向所有用户开放 GET 请求，不校验客户端身份。强行在 Nginx 或反向代理层启用 mTLS，会导致 Composer 直接失败，因为 Composer 不发送客户端证书，服务端会拒绝连接。
真正需要关注的是单向 HTTPS 的完整性与可靠性，而非不存在的“双向认证”：
-
secure-http必须为true（默认），否则 HTTP 镜像会被接受，元数据可被中间人篡改 - 镜像 URL 必须以
https://开头且末尾带/，否则请求路径拼错（如/composerpackages.json）导致 404 - 不能禁用 TLS 验证（如设
disable-tls为true），否则签名验证链断裂
Composer 安全依赖的其实是 signature 字段，不是 HTTPS 双向性
Composer 2.2+ 的安全机制核心是官方源返回的 signature 字段，它由 packagist.org 私钥签名，用于校验 packages.json 和各 provider 文件的完整性。这个字段只存在于 packagist.org 的 HTTPS 响应中，国内镜像若未同步该字段（如旧版 Laravel China 镜像），composer install 会自动降级为无校验模式。
所以关键不是“HTTPS 是否双向”，而是：
- 元数据请求（
packages.json等）是否走可信 HTTPS 镜像（仅加速，不绕过验证） - 包文件（
.zip/.tar）是否仍从官方或带校验的 CDN 下载（默认行为） - 是否全局启用签名验证：
composer config -g security.signature true
执行 composer diagnose 后，输出中必须同时出现 secure-http: OK 和 signature verification: OK 才算真正生效。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
如何验证镜像是否参与了签名验证链
很多人误以为只要 composer config -g repo.packagist 输出了镜像地址，就等于安全加速。其实不然。镜像是否“透明代理元数据”而非“替换源”，取决于配置方式：
- ✅ 正确：用
repos.packagist（复数）+type: composer+ HTTPS URL → 元数据走镜像，签名仍由 packagist.org 提供，验证链完整 - ❌ 错误：用
repo.packagist（单数）→ 完全替换官方源，镜像若无signature字段，验证被跳过
验证方法：
- 运行
composer config -g repos.packagist，确认输出为{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}（注意是repos.，不是repo.） - 加
-vvv跑一次composer install，日志中应出现类似Downloading https://mirrors.aliyun.com/composer/packages.json，且后续有Verifying signature for packages.json - 检查
vendor/composer/installed.json中每个包的dist.signature字段是否存在且非空
内网环境用 HTTP 镜像时，怎么不破坏安全链
阿里云 ECS 内网用户可用 http://mirrors.cloud.aliyuncs.com/composer/，但 HTTP 本身不加密，为何还能保安全？答案是：它只代理元数据，而签名验证不依赖传输层加密，只依赖响应体中的 signature 字段是否真实。
前提是：
- 该内网镜像站确实同步了 packagist.org 的
signature字段（阿里云已支持） -
secure-http保持true（HTTP 镜像不会触发此检查，因它仅对 HTTPS 源生效） - 不能同时配置
repo.packagist（单数）覆盖官方源，否则签名字段丢失
命令示例（仅限阿里云 VPC 内网）：
composer config -g repos.packagist.type composer<br>composer config -g repos.packagist.url http://mirrors.cloud.aliyuncs.com/composer/
注意：URL 末尾斜杠 / 仍不可省；本地开发机或非阿里云服务器访问该地址会失败，不可混用。
