“找不到公共密钥”实为签名验证失败，根因是系统时间偏差＞5分钟、CA证书过期或镜像未同步新签名三者之一；需依次验证时间、证书链及镜像有效性，删vendor和composer.lock后切回官方源重装才可彻底修复。
Composer install报“找不到公共密钥”是签名验证失败的典型表现
这不是密钥真丢了，而是 Composer 在校验 packages.json 或 dist 包签名时，本地环境无法加载或识别 Packagist 官方公钥。常见于系统时间偏差 >5 分钟、CA 证书过期、镜像未同步新签名三者之一，且三者互不干扰——清缓存、换镜像、重装 Composer 都无效。
确认是否真缺公钥：先查时间与证书链
别急着关验证，先交叉验证底层是否可信：
- 运行
php -r "print_r(openssl_get_cert_locations());"，检查default_cert_file指向的文件是否存在、可读，且内容里最新证书签发时间 ≥2022 年（尤其排除含DST Root CA X3的旧 bundle） - 运行
curl -I https://packagist.org/packages.json 2>/dev/null | head -1，返回HTTP/2 200才说明 HTTPS 链路正常；若报SSL certificate problem，问题在证书，不是密钥 - 运行
date，确认系统时间与网络时间偏差 ≤5 分钟（ntpdate -s time.windows.com或timedatectl set-ntp true可修复）
临时关闭签名验证仅限调试，必须配合 --no-secure-http
Composer 的签名验证开关和 HTTPS 强制开关是两套机制：--no-secure-http 不等于跳过 GPG 校验。真正绕过需组合操作：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 单次命令禁用（推荐）：
composer install --no-secure-http --ignore-platform-reqs - 全局禁用（仅开发机）：
composer config -g secure-http false，再加环境变量COMPOSER_NO_SSL=1（Linux/macOS）或set COMPOSER_NO_SSL=1（Windows） - 注意：
composer config -g allow-plugins false会静默破坏签名流程，反而加剧失败，不要乱设
真正修复要回退到官方源重装，而非只关验证
关验证只是掩盖问题，下次 install 还会崩。唯一可靠路径是：
- 删干净：
rm -rf vendor composer.lock（Windows 用rd /s /q vendor & del composer.lock） - 切回官方源：
composer config -g --unset repos.packagist && composer config -g repo.packagist composer https://packagist.org - 清缓存：
composer clear-cache - 重装：
composer install成功后，再等 30 分钟切回阿里云/华为云镜像（避免同步延迟导致的checksum verification failed）
签名验证失败的根子不在 Composer 命令本身，而在时间、证书、镜像元数据三者的信任链断点上——漏查任意一层，关验证都只是把错误推迟到下次 lock 更新时爆发。
