composer validate 不能校验数据完整性，它仅检查 composer.json 的 JSON 语法和基本 schema，不验证版本、哈希值或 lock 文件与 json 的一致性，也不读取 composer.lock 或校验 vendor 中文件是否被篡改。
composer validate 命令是否真能校验数据完整性？
composer validate 实际上只校验 composer.json 的 JSON 语法和基本 schema（比如字段类型、必需字段），**不校验包依赖的实际版本、哈希值或 lock 文件与 json 的一致性**。它不会去读 composer.lock，也不会检查 vendor 中已安装的包是否被篡改。
所以如果你担心「下载的包被污染」「lock 文件被手动改过」或「本地 vendor 和 lock 不匹配」，composer validate 是无能为力的。
如何真正校验依赖数据的一致性？
真实的数据校验分三层，对应三个命令：
-
composer validate --strict：启用严格模式，会警告未声明的顶级字段（如误加了"scripts"拼写错误成"script"）——但仍是 schema 层面 -
composer install --dry-run：模拟安装过程，检查composer.json和composer.lock是否能协同解析出确定依赖图，若 lock 缺失或格式损坏会报错 -
composer install --no-install（Composer 2.5+）：跳过写入 vendor，仅校验 lock 中所有包的dist.sha256或dist.sha1哈希值是否与本地已下载的vendor/composer/archives/或缓存中文件一致
最接近「数据完整性校验」的是第三个：它会实际计算文件哈希并比对，失败时输出类似 Invalid checksum for ... expected ..., got ...。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么 composer.lock 校验经常静默通过？
因为默认情况下，Composer 只在校验时检查 lock 文件结构，**不主动验证已安装包的哈希**，除非你显式触发校验流程（如上面的 --no-install）或执行 composer update（此时会重算并覆盖 lock）。
常见陷阱包括：
- 手动编辑了
composer.lock但没更新哈希字段 →composer install仍会照常覆盖 vendor，不报错 - 从 Git 拉取的 lock 文件缺失
content-hash字段 →composer install会重新生成，但旧 lock 的哈希校验逻辑失效 - 使用
composer install --ignore-platform-reqs时，部分包可能降级安装，但 lock 中记录的哈希仍是原版 → 后续--no-install校验必然失败
CI 环境中推荐的数据校验组合
在 GitHub Actions 或 GitLab CI 中，不要只跑 composer validate。应按顺序执行：
-
composer validate --strict：确保 json 合规 -
composer install --no-progress --no-interaction --no-scripts --no-install：强制校验所有 dist 包哈希（需 Composer ≥ 2.5） - （可选）
git diff --exit-code composer.lock：确认 lock 未被意外修改，避免提交脏 lock
注意：--no-install 依赖 composer.lock 中存在 dist.sha256 字段；如果项目长期用旧版 Composer 生成 lock，可能只有 dist.sha1，此时该命令会跳过校验 —— 得先用新版 Composer 执行一次 composer update --lock 来刷新哈希字段。
