根本原因是宝塔禁用putenv()导致Composer无法设置环境变量，应使用/php_path -d "disable_functions=" composer self-update绕过限制，升级后需重设镜像源。
composer self-update 报 putenv() has been disabled？根本原因不是网络
宝塔里执行 composer self-update 失败，十有八九不是版本源问题，而是 PHP 运行时直接拦住了 Composer 自身的升级逻辑——putenv() 被禁用后，Composer 连设置临时环境变量都做不到，更别说下载、解压、替换自身了。
现象很典型：PHP Warning: putenv() has been disabled for security reasons，哪怕你刚装好 Composer，也升不了级。这不是 Composer 的 bug，是宝塔 PHP 配置和 Composer 启动机制的硬冲突。
- 别去 PHP 管理里删
putenv再重载——临时开函数有安全风险，且升级完还得关，来回折腾 - 也别信“面板里点一下就能升级”，2026 年多数宝塔版本仍无法正确触发 Composer 全量更新
- 真正稳妥的做法，是绕过禁用函数限制，用 PHP 命令行参数临时覆盖配置
用 /www/server/php/xx/bin/php -d "disable_functions=" 强制升级
这条命令本质是：不改全局 PHP 配置，只在本次执行中让 disable_functions 生效为空，从而放行 putenv、proc_open 等关键函数。
实操步骤（以 PHP 82 为例）：
- 确认你项目实际用的 PHP 版本号（进宝塔【网站】→【PHP 管理】看清楚，不是“默认”，是站点绑定的那个）
- 执行：
/www/server/php/82/bin/php -d "disable_functions=" /usr/local/bin/composer self-update - 如果提示
Command "self-update" is not defined，说明你装的是旧版 Composer 1.x，先强制切到 2.x：/www/server/php/82/bin/php -d "disable_functions=" /usr/local/bin/composer self-update --2 - 升级完成后，运行
composer --version验证，输出应含Composer version 2.7.x或更高
升级后还要注意镜像源是否还生效
Composer 升级会重置部分全局配置，尤其是镜像源。升级完立刻检查：composer config -g repo.packagist。如果返回空或还是官方地址，说明阿里云镜像失效了。
这时候必须补上（推荐阿里云，同步及时）：
- 全局设镜像：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 验证是否写入成功：
composer config -g repo.packagist应输出https://mirrors.aliyun.com/composer/ - 如果只想对当前项目生效，去掉
-g参数，在项目目录下运行即可
为什么不能直接改 PHP 禁用函数再升级？
因为 putenv、proc_open、pcntl_signal 是 Composer 运行时的刚需函数，但它们也是服务器安全加固的常见拦截点。宝塔默认禁用，是有道理的——比如 proc_open 可被用于执行任意系统命令。
所以，日常运行依赖安装（composer install）时，这三个函数确实得开着；但升级 Composer 自身，只需要一次性放行，用 -d "disable_functions=" 方式最干净，既不改生产配置，也不留安全隐患。
容易忽略的一点：升级命令里写的 PHP 路径，必须和你网站实际绑定的版本完全一致。写错一个数字（比如把 82 写成 81），就会调用到另一个未配置好扩展的 PHP 实例，导致 openssl 或 tokenizer 缺失，报错卡死。
