首先通过SHA-384校验哈希值验证composer.phar完整性，其次可使用GPG签名验证确保来源可信，官方安装脚本则自动完成校验流程。

Composer 提供了多种方式来验证下载的 composer.phar 文件是否完整且未被篡改，确保安全性。主要通过校验文件的 SHA-384 哈希值和使用 GPG 签名验证两种方式。

1. 使用 SHA-384 校验和验证

官方推荐在下载 composer.phar 后，立即比对它的哈希值与官网公布的值是否一致，防止文件在传输过程中被修改。

操作步骤如下：

• 从 https://www.php.cn/link/594ca739e3609243a6b6a3dd8d871114 获取当前版本的 SHA-384 校验和
• 在终端中运行以下命令生成你下载文件的哈希值：

sha384sum composer.phar

将输出结果与官网提供的进行比对，完全一致则说明文件完整。

2. 使用 GPG 验证签名（更安全）

GPG 签名能验证文件确实由 Composer 团队发布，防止中间人攻击。你需要：

Academic Composer Upload

辅助学术写作，包括查找资料、生成大纲、引用扩写及润色风格，同时确保引用规范。

下载

• 导入 Composer 的公钥（仅需一次）：

gpg --keyserver hkp://keyring.pgp.com --recv-keys 1DA7EA48E69C3026
# 或使用其他可用的密钥服务器，如：
gpg --keyserver hkps://keys.openpgp.org --recv-keys 1DA7EA48E69C3026

• 下载对应的 .phar.asc 签名文件（例如 composer.phar.asc）
• 执行签名验证：

gpg --verify composer.phar.asc composer.phar

如果显示 "Good signature" 并确认是来自 Composer 开发者，则文件可信。

3. 官方安装脚本自动验证

Composer 官网提供的安装脚本会自动完成上述验证流程：

php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');"
php -r "if (hash_file('sha384', 'composer-setup.php') === '对应哈希值') { echo 'Installer verified'; } else { echo 'Installer corrupt'; unlink('composer-setup.php'); }"
php composer-setup.php
php -r "unlink('composer-setup.php');"

脚本中包含的哈希值会随版本更新变化，务必从官网复制最新代码。

基本上就这些。手动下载后建议至少做 SHA-384 校验，追求更高安全性的团队应启用 GPG 验证。不复杂但容易忽略。