根本原因是非官方打包工具篡改ZIP包导致哈希值变化；镜像源返回的ZIP与composer.lock中SHA256不一致，触发校验失败报错，污染发生在服务端而非本地缓存。
非官方打包工具篡改 ZIP 包导致 checksum mismatch
Composer install 报 Package checksum mismatch 的根本原因，是镜像源返回的 ZIP 包与 composer.lock 中记录的 SHA256 值不一致。非官方打包工具（如某些中文镜像后台的自动重打包服务）在缓存或分发过程中，可能对原始 ZIP 文件做二次处理：比如解压后重新压缩、修改文件时间戳、调整 ZIP 元数据结构，甚至注入额外文件——这些操作都会改变最终 ZIP 的哈希值。
Composer 在安装时严格校验 composer.lock 里每个包的 dist.sha256 字段，一旦发现本地下载的 ZIP 和该值不匹配，就直接中止并报错，不会尝试修复或覆盖。
- 典型错误信息：
Package checksum mismatch for vendor/monolog/monolog: expected abc123..., got def456... - 这不是你本地环境的问题，也不是网络传输损坏，而是远程镜像返回了“合法但不一致”的包
- 哪怕你清空
~/.composer/cache，问题依旧存在——污染发生在服务端，不是缓存层
Composer 1.x 解析精简元数据直接崩溃
部分非官方镜像为提速，会裁剪 packages.json 中的字段（如删掉 conflict、require-dev），或把 providers 数组改成单个 provider 字符串。这类结构变更对 Composer 2.x 是兼容的，但旧版（尤其是 1.10.22 及更早）会直接抛出 UnexpectedValueException，错误提示形如 Could not parse version constraint。
这种报错和“装不上包”无关，纯粹是 JSON Schema 不匹配导致解析器提前退出。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 验证方式：
composer --version看是否 ≤ 1.10.22；再运行composer config -g repo.packagist确认是否指向非官方源 - 临时解法：升级到 Composer 2.x（
composer self-update） - 保守解法：切回官方源 + 清缓存：
composer config -g repo.packagist composer https://packagist.org，再执行composer clear-cache
镜像 URL 缺尾部斜杠引发无限重定向
所有主流中文镜像（阿里云、腾讯云、华为云）要求镜像地址必须以 / 结尾。漏掉就会触发服务端 301 重定向链：GET /composer → 301 → /composer/ → Composer 再次 GET /composer → ……，最终卡死或报 redirect error。
这不是 Composer 自身 bug，而是 HTTP 协议层面的循环跳转。非官方打包工具常忽略这个细节，在配置文档或脚本中硬编码了错误路径。
- 错误写法：
https://mirrors.aliyun.com/composer（缺/） - 正确写法：
https://mirrors.aliyun.com/composer/ - 验证方式：
curl -I -L https://mirrors.aliyun.com/composer/packages.json，看Location是否反复跳转
项目级配置被私有源或全局配置意外覆盖
非官方打包工具常配合一键脚本部署，这些脚本可能在全局配置（~/.composer/config.json）里写入镜像地址，却没考虑项目根目录下 composer.json 里的 repositories 字段。只要项目里存在该字段（哪怕为空数组），全局配置就完全失效——但 Composer 不报错，只是安静退回官方源。
更隐蔽的是，环境变量 COMPOSER_REPO_PACKAGES 优先级高于所有配置，容易被 CI 脚本或 Dockerfile 意外设置，导致实际走的源和你预期的完全不同。
- 检查顺序：环境变量 > 项目级
repositories> 全局repo.packagist - 项目级配置最可靠：进项目根目录，运行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加-g） - 如果项目已有
"repositories": []，需先手动改为"repositories": {}，否则命令失败
composer install 突然失败，或者线上环境跑出和本地不一致的行为。最危险的不是报错，是没报错却装错了包。 
