必须同时执行composer config -g secure-http true和composer config -g security.signature-verification true，再运行composer diagnose确认两项均显示OK；仅换镜像源会丢失signature字段导致校验失效，须保留官方源并仅代理元数据请求。
如何启用强制 HTTPS 和签名验证
Composer 默认不校验包来源真实性，只比对 composer.lock 中的哈希值——这层保护可被篡改。真正起作用的是 Packagist 官方签名机制，它要求元数据（packages.json）带 signature 字段，且 Composer 必须主动验证。
必须同时开启两个配置才构成基础安全链：
-
composer config -g secure-http true：禁止任何 HTTP 源，防止中间人劫持元数据 -
composer config -g security.signature-verification true：启用 Packagist 签名验证（仅 Composer 2.5+ 支持）
验证是否生效：运行 composer diagnose，输出中应同时出现 secure-http: OK 和 signature verification: OK。若后者缺失，说明你用的是旧版 Composer 或配置未全局生效。
为什么不能直接换镜像源就认为“安全”
执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 是常见错误——它会完全替换官方源，导致签名字段丢失，Composer 自动降级为无校验模式。
正确做法是保留官方源，仅将元数据请求代理到镜像：
composer config -g repos.packagist.type composercomposer config -g repos.packagist.url https://mirrors.aliyun.com/composer/
这样 packages.json 走镜像加速，但每个包的 .zip 文件仍从官方或签名可信 CDN 下载，且签名验证逻辑不受影响。注意：镜像 URL 必须是 HTTPS，否则 secure-http 会直接拒绝加载。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
ssl.cafile 配置失效的典型原因
很多团队配了 ssl.cafile 却仍报 cURL error 60，不是路径错，而是文件本身不被 OpenSSL 认可。
关键检查点：
- 文件必须是纯 PEM 格式，以
-----BEGIN CERTIFICATE-----开头，不能有注释、空行、BOM 或 DER 内容 - 若私有仓库用了中间 CA，需合并中间 CA + 根 CA，顺序为中间在前、根在后；用
cat intermediate.pem root.pem > ca-bundle.pem拼接，别手动复制粘贴 - 必须用
--global配置：composer config --global ssl.cafile /etc/ssl/certs/company-ca.pem；项目级配置对 CLI 全局行为无效 - PHP 进程（如
www-data）必须有读权限；家目录下的路径在 php-fpm 场景下常因权限不足静默失败
Composer ≥2.5 不再直接透传 ssl.cafile 给 cURL，而是先尝试用它初始化 OpenSSL 上下文——失败时不会报错，只会 fallback 到系统默认 CA，结果还是报 60 错误，极难排查。
vendor 目录暴露和锁文件风险
安全连接参数再严，也挡不住人为失误导致的信任链断裂。
两个容易被忽略但后果严重的点：
-
vendor/绝对不能被 Web 服务器直接访问：Nginx 需加location ^~ /vendor/ { return 403; }，Apache 需确保.htaccess生效；CI/CD 脚本里cp -r vendor public/这类操作会直接暴露自动加载器和路径信息 -
composer.lock必须进 Git，且不能随意修改；它虽不自带签名，但配合security.signature-verification true，能确保每次 install 拉取的包与签名元数据一致——删掉 lock 文件再 run install，等于放弃所有校验
签名验证只对 Packagist.org 托管且作者主动签名的包有效；私有仓库必须自行部署签名机制（如 Private Packagist 的 signing-key），否则 security.signature-verification 对它们不起作用。
