必须卸载系统包管理器安装的 Composer，因其版本陈旧、缺乏安全校验、不支持新版 PHP 和依赖解析；应通过校验哈希后的官方脚本安装至 /usr/local/bin，并确保 PHP 扩展、权限、PATH 和 memory_limit 配置正确。
别用 apt 或 yum 装 Composer —— 你装的不是 Composer，是过期的兼容层，连 ^2.5 依赖都解析不了，更别说 PHP 8.2+ 的类型约束。
为什么 apt install composer 一定得卸掉
Ubuntu 22.04 自带 composer 2.0.14，但 22.10 又退回 1.10.22；CentOS EPEL 里长期卡在 1.10.21。这些版本：
- 不校验包签名，
composer install下载的可能是被篡改的 zip - 跳过
platform-check和conflict块，导致依赖看似成功实则错配 -
self-update失效，升不到 2.7+，也打不上安全补丁 - 硬编码调用系统默认 PHP（比如 CentOS 的
/usr/bin/php），而你项目实际用的是php8.2，结果报Class ZipArchive not found却查不到原因
运行 composer --version 看到 1.10.x 或低于 2.5，立刻执行：sudo apt remove composer（Ubuntu）或 sudo yum remove php-composer（CentOS），再确认 which composer 不返回 /usr/bin/composer。
curl | php 安装时必须校验 sha384 哈希
官方安装脚本不是“下载即用”，中间人可能替换内容。漏掉校验，后续所有依赖都不可信。
分步执行（别合并成一行）：
- 下载安装器：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');" - 获取签名：
HASH=$(curl -sS https://composer.github.io/installer.sig) - 本地计算并比对：
php -r "if (hash_file('sha384', 'composer-setup.php') === '$HASH') { echo 'Installer verified'; } else { echo 'Installer corrupt'; unlink('composer-setup.php'); }"
输出 Installer verified 才继续；否则删掉 composer-setup.php 重来。别用国内镜像站提供的“一键脚本”——它们常把哈希值硬编码进脚本，失去校验意义。
/usr/local/bin/composer 权限和 PATH 必须手动确认
装完跑 composer --version 报 Permission denied？不是文件坏了，是权限没设对。
- 确保可执行：
sudo chmod +x /usr/local/bin/composer - 检查是否在 PATH：
echo $PATH看有没有/usr/local/bin；没有就加：export PATH="/usr/local/bin:$PATH"（写入~/.bashrc持久化） - 非 root 用户（如
www-data或deploy）运行时，还要确认：ls -l /usr/local/bin/composer归属是否为root:root，且权限是-rwxr-xr-x
如果用容器或最小化系统（如 Alpine、CentOS Stream），/usr/local/bin 可能不在默认 PATH 中，which composer 为空就是这个原因。
PHP 扩展缺失会导致 composer install 静默失败
Composer 启动时不报错，但 install 卡在 “Loading composer repositories”，最后只输出 Package operations: 0 installs, 0 updates, 0 removals —— 实际是 php-zip 或 php-phar 没启用。
- Ubuntu/Debian：
sudo apt install php-cli php-zip php-json php-mbstring php-xml php-phar - CentOS/RHEL 8+：
sudo dnf install php-cli php-zip php-json php-mbstring php-xml php-phar - 检查是否加载：
php -m | grep -E 'zip|phar|xml' - 某些环境还禁用了
proc_open（在disable_functions里），会导致composer update直接退出，无提示
最隐蔽的坑是 memory_limit：Composer 2.7+ 解析大型 composer.json 至少要 1G，php -i | grep memory_limit 小于 1G 就得调高。
