唯一可靠修复哈希不匹配的方法是删除vendor和composer.lock后切回官方源重装，因为镜像元数据滞后或未透传原始dist.sha256导致lock文件失效，仅清缓存或只删vendor无法修正错误哈希。
镜像站本身不存包，所谓“脏数据”实际是本地缓存里的 ZIP 和 Git 裸仓库；哈希不一致的根源往往不在你本地，而在镜像源没透传原始 dist.sha256。
为什么 clear-cache 后还是 hash mismatch
因为 composer clear-cache 只清 ~/.composer/cache/files/ 和 repo/，但不会动 vcs/，更不会修正 composer.lock 里已记录的错误哈希值。如果镜像站返回的包被重打包过（比如阿里云、腾讯云未做哈希透传），你清完缓存再装，下载的仍是篡改后的内容，校验必然失败。
常见误操作：
- 只删
vendor/，不删composer.lock—— 错误哈希还在，重装照错 - 切镜像后直接
composer update—— 镜像元数据滞后，lock文件里版本和哈希已失准 - 用
COMPOSER_DISABLE_CHECKSUM_VERIFY=1绕过 —— 该变量在 Composer 2.2+ 已 deprecated，且不修复问题本身
如何验证镜像源是否真可靠
别信文档，实测为准。同一包，对比官方源与镜像源的 dist.sha256 是否一致：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查官方：
curl -s https://packagist.org/p2/laravel/framework/10.40.0.json | jq -r '.packages."laravel/framework"[0].dist.sha256' - 查镜像（如中科大）：
curl -s https://mirrors.ustc.edu.cn/composer/p2/laravel/framework/10.40.0.json | jq -r '.packages."laravel/framework"[0].dist.sha256' - 手动下载两个源的 ZIP：
curl -o official.zip <official-dist-url>和curl -o mirror.zip <mirror-dist-url>，再运行shasum -a 256 *.zip
若哈希不同，说明该镜像未透传原始包，不能用于生产环境完整性校验。
精准清理本地“僵尸包”和 vcs 垃圾
cache/files/ 里不是所有 ZIP 都有用，cache/vcs/ 更是 inode 杀手 —— 但 clear-cache 默认跳过后者。
- 识别真正僵尸 ZIP：遍历所有项目的
composer.lock，提取dist.shasum字段，再跟cache/files/中文件的实际 SHA256（非文件名里的 hash）比对；不匹配的才可删 - 安全清
vcs/：rm -rf $(composer config --global cache-dir)/vcs/*（Linux/macOS），Windows 进%APPDATA%\Composer\Cache\vcs\全删 - 一劳永逸禁用：
composer config --global cache.vcs false，之后所有包强制走--prefer-dist
修复哈希不一致必须“双清 + 切源”
单靠命令或参数无法修复已被污染的信任链。唯一可靠路径是重建锚点：
- 停代理：
export HTTP_PROXY= && export HTTPS_PROXY=（Linux/macOS）或 Windows 清系统代理设置 - 双清：
rm -rf vendor composer.lock（Windows 用rd /s /q vendor & del composer.lock） - 切官方源：
composer config -g --unset repos.packagist - 重装：
composer install—— 此时所有元数据和包均来自packagist.org，哈希与锁文件重新对齐
最易被忽略的是：镜像同步延迟是服务端行为，和你本地任何操作都无关；而 repositories 字段一旦出现在 composer.json 中，全局镜像配置就完全失效 —— 很多人调了全局源却不起作用，卡在这一步。
