type = packageのcomposer.jsonリポジトリの整合性チェック

Question

私は、（少なくとも公式バージョンではない）Packagistで利用できないPHPライブラリをプロジェクトに追加したいと思います。ここで私が今やっているものの例です：

このような composer.lockエントリで $ composer install結果実行

{ 
    "repositories": [ 
    { 
     "type": "package", 
     "package": { 
     "name": "fpdf/fpdf", 
     "version": "1.81.0", 
     "dist": { 
      "type": "zip", 
      "url": "http://www.fpdf.org/en/dl.php?v=181&f=zip" 
     }, 
     "autoload": { 
      "files": ["fpdf.php"] 
     } 
     } 
    } 
    ], 
    "require": { 
    "fpdf/fpdf": "1.81.0" 
    }, 
    "config": { 
    "secure-http": false 
    } 
} 

：

"packages": [ 
    { 
     "name": "fpdf/fpdf", 
     "version": "1.81.0", 
     "dist": { 
      "type": "zip", 
      "url": "http://www.fpdf.org/en/dl.php?v=181&f=zip", 
      "reference": null, 
      "shasum": null 
     }, 
     "type": "library", 
     "autoload": { 
      "files": [ 
       "fpdf.php" 
      ] 
     } 
    } 

を私の知る限り、その可能性利用できるデータがありませんzipファイルの整合性をチェックするために使用されます。 （何か不足していますか？）

プロジェクトの依存関係を設定するときにComposerで使用されるzipファイルのハッシュを指定する方法はありますか？私は、zipの内容が変更されておらず、改ざんされていないことを確認したいと思います。

Answer 1

{ 
    "repositories": [ 
    { 
     "type": "package", 
     "package": { 
     "name": "fpdf/fpdf", 
     "version": "1.81.0", 
     "dist": { 
      "type": "zip", 
      "url": "http://www.fpdf.org/en/dl.php?v=181&f=zip", 
      "shasum" :"f832b04a5158645330d29bdb7265652dbcb6e4c3" 
     }, 
     "autoload": { 
      "files": ["fpdf.php"] 
     } 
     } 
    } 
    ], 
    "require": { 
    "fpdf/fpdf": "1.81.0" 
    }, 
    "config": { 
    "secure-http": false 
    } 
} 

shasumはあなたが