Composer报错或卡顿主因有三：PHP环境未校准（如openssl未启用、php.ini配置错误、PATH含空格）、安装方式绕过验证（Windows安装器静默失败，推荐直接用composer.phar）、默认源国内不可达（须换阿里云或中科大镜像并清缓存）。
Composer 不是点下一步就能用的工具，装完 composer --version 报错或卡在 “Resolving dependencies”，基本都出在三个地方：PHP 环境没校准、安装方式绕过了关键检查、默认源在国内根本连不通。
Windows 上双击 Composer-Setup.exe 为什么总失败
不是你手速慢，是安装器默认不验证 php.ini 里最关键的几行配置。它只扫 php.exe 路径，一旦路径含空格（比如 C:\Program Files\php\php.exe）或 extension=php_openssl.dll 前面还留着分号，就静默跳过，最后提示“PHP not found”。
- 先在命令行跑
php -m | findstr openssl，确认 OpenSSL 已启用；没输出就去php.ini里去掉;extension=php_openssl.dll前的分号 -
php.exe所在目录必须加进系统 PATH，且路径中不能有空格、中文 - 仍失败？直接跳过安装器：下载
composer.phar，丢进项目目录，执行php composer.phar --version—— 能跑通，说明 PHP 没问题，只是安装器太敏感
Linux/macOS 用 curl | php 安装已不安全
2026 年起官方强制要求校验 SHA-384 哈希值，否则可能载入被篡改的安装脚本。网上还在传的 curl -sS https://getcomposer.org/installer | php 是过时做法。
- 分三步走：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');"→php -r "if (hash_file('sha384', 'composer-setup.php') === 'e21205b207c3ff031906575712edab6f13eb0b361f2085f1f1237b7126d785e826a4d0cc4b77f883902bb78de46181d610') { echo 'OK'; } else { echo 'Installer corrupt'; }"→ 确认 OK 后再执行php composer-setup.php - 移动前务必加执行权限：
sudo chmod +x composer.phar，再sudo mv composer.phar /usr/local/bin/composer - 装完立刻跑
composer diagnose，它比--version多查 CA 证书、home 目录可写性等真实隐患
国内用户不配镜像源，composer install 就是等红绿灯
超时卡在 “Resolving dependencies” 或 “Downloading https://packagist.org/packages.json”，不是你网差，是 DNS 污染+TLS 握手阻塞导致 packagist.org 在国内不可靠。换镜像是刚性需求，不是提速选项。
- 全局生效（推荐）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 项目级覆盖（如团队规范）：
composer config repo.packagist composer https://mirrors.ustc.edu.cn/composer/（注意没-g） - 换完必须清缓存：
composer clear-cache，否则旧源还在内存里继续发请求
composer install 和 composer update 到底该用哪个
很多人一报错就 update，结果把生产环境搞崩。关键区别不在“新不新”，而在“是否尊重 composer.lock”。
-
install：严格按composer.lock里的版本和 hash 还原依赖，适合部署、CI、协作开发 -
update：重新解析composer.json中的版本约束（比如^2.0），生成新 lock 文件，仅用于主动升级或调试 - 如果
install报错，先看是不是composer.lock里锁了 PHP 8.1 特性但你本地是 PHP 8.0 —— 此时该降 PHP 版本或删 lock 文件重来，而不是盲目update
最常被忽略的一点：Composer 2.5+ 强制要求 PHP ≥ 8.0，但很多老项目还在 PHP 7.4 上跑。别硬升 Composer，也别硬切 PHP，先查官方兼容表（不是首页文档，是 https://getcomposer.org/doc/00-intro.md 底部小字），再决定是降 Composer 版本还是升级运行环境。
