Проверка целостности хранилищ composer.json с типом = пакет

Я хотел бы добавить в мой проект библиотеки PHP, которые недоступны через Packagist (по крайней мере, в официальных версиях). Вот пример того, что я делаю сейчас:

{
"repositories": [
{
"type": "package",
"package": {
"name": "fpdf/fpdf",
"version": "1.81.0",
"dist": {
"type": "zip",
"url": "http://www.fpdf.org/en/dl.php?v=181&f=zip"},
"autoload": {
"files": ["fpdf.php"]
}
}
}
],
"require": {
"fpdf/fpdf": "1.81.0"},
"config": {
"secure-http": false
}
}

Бег $ composer install приводит к composer.lock запись, как это:

"packages": [
{
"name": "fpdf/fpdf",
"version": "1.81.0",
"dist": {
"type": "zip",
"url": "http://www.fpdf.org/en/dl.php?v=181&f=zip",
"reference": null,
"shasum": null
},
"type": "library",
"autoload": {
"files": [
"fpdf.php"]
}
}

Насколько я могу судить, нет доступных данных, которые можно было бы использовать для проверки целостности zip-файла. (Я что-то пропустил?)

Есть ли способ указать хеш для zip-файла, который будет использоваться Composer при настройке зависимостей для проекта? Я хотел бы убедиться, что содержимое почтового индекса не изменилось и не может быть изменено.