Composer自2.0起支持包签名验证，需启用signature-verification并添加可信公钥，通过composer validate-sig检查签名状态，确保安装的包来自可信源且未被篡改。
Composer 从 2.0 版本开始支持对已安装的包进行签名验证，以确保下载的代码来自可信来源且未被篡改。要验证一个包的签名，需要该包在发布时使用了 Signed Dist 功能（即通过 composer sign 命令签名），并且你本地启用了签名验证。
1. 确保启用签名验证
默认情况下，Composer 不强制验证签名。你需要在配置中开启验证策略：
你可以通过以下命令设置信任级别：composer config --global minimum-stability stablecomposer config --global signature-verification true
启用后，Composer 会在安装或更新包时自动检查其签名是否有效。
2. 检查已安装包的签名状态
运行以下命令可以查看当前项目中所有包的签名验证结果：
执行：composer validate-sig
该命令会输出每个已安装包的签名信息，包括：
- 是否签名
- 签名是否有效
- 签名者公钥指纹
3. 手动验证单个包的签名
如果你想手动验证某个特定包的签名，可以进入其 vendor 目录并检查 composer.json 中的 dist 部分是否有 signature 字段。
例如：
得推二手商城系统是一个类似于咸鱼商城的PHP商城系统源码，包含了商城，圈子，回收，金币兑换，签到等多个模块，可以快速搭建二手商城交易平台。系统支持wap\公众号\小程序\APP。 功能介绍： 1.网站设置：站点信息，支付配置，短信配置，邮箱配置等 2.账户管理：账户审核，实名认证，用户充值，黑名单等 3.订单管理：商品订单、确认、发货、退货等 4.商品管理：商
"dist": {
"type": "zip",
"url": "...",
"reference": "...",
"shasum": "...",
"signature": "..."
}
如果存在 signature 字段，Composer 在安装时就会尝试验证它。
4. 添加可信公钥
为了验证签名，你需要拥有签名者的公钥。公钥通常由包维护者提供（如放在官网或 GitHub）。
将公钥保存为文件（如 vendor-public.key），然后添加到 Composer 的信任密钥列表：
composer keys add /path/to/vendor-public.key
添加后，Composer 就能用这个公钥验证对应签名。
基本上就这些。只要包发布了签名版本，并且你配置了正确的信任链，Composer 就能帮你防止恶意代码注入。不复杂但容易忽略。
