必须手动下载官方composer.phar并设为全局命令，因apt/yum安装的通常是过时且不兼容的1.x版本；报“command not found”是PATH未包含其路径，需手动添加；报“Permission denied”则需补执行权限。
直接用 apt install composer 或 yum install composer 装出来的几乎肯定不能用——它大概率是 1.x 版本，不支持 ^2.5 依赖约束、PHP 8.2+、platform-check 块，也不校验包签名。必须手动下载官方 composer.phar 并设为全局命令。
为什么 composer --version 报 “command not found”
这不是 Composer 没装好，而是 shell 根本找不到这个文件。Linux 不会自动把下载的二进制加进路径，得你手动放对位置、设对权限、再确保该位置在 $PATH 里。
-
which composer没输出？说明/usr/local/bin（或你放的位置）不在当前$PATH中；最小化系统、Docker 容器、某些 CentOS 镜像常删掉它 - 临时验证：运行
export PATH="/usr/local/bin:$PATH"，再试composer --version - 永久生效：把
export PATH="/usr/local/bin:$PATH"加到~/.bashrc或/etc/profile（后者需 root 权限且影响所有用户） - 别信
sudo su -后能用就万事大吉——非登录 shell（比如 systemd 服务、CI 脚本）可能压根不读这些配置
下载后 composer --version 报 “Permission denied”
这是两个独立问题叠加的结果：文件没执行权限 + 所在目录没进 $PATH。但只要报这个错，优先查权限。
-
ls -l /usr/local/bin/composer看输出里有没有x（如-rwxr-xr-x），没有就补：sudo chmod +x /usr/local/bin/composer - 别跳过 SHA-384 校验——直接
curl | php下载虽快，但中间人攻击风险真实存在，尤其公司代理或老旧镜像站 - 校验步骤必须做：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');"→ 获取签名HASH=$(curl -sS https://composer.github.io/installer.sig)→ 校验php -r "if (hash_file('sha384', 'composer-setup.php') === '$HASH') { echo 'ok'; } else { die('corrupt'); }" - 校验通过后再执行：
sudo php composer-setup.php --install-dir=/usr/local/bin --filename=composer
装完 composer install 卡住或报 Class 'ZipArchive' not found
这不是 Composer 自身的问题，而是 PHP CLI 环境缺扩展。Composer 2.x 强依赖 zip、openssl、json、mbstring、phar、xml，旧版不提示，新版直接失败。
- 检查是否全启用：
php -m | grep -E "zip|openssl|json|mbstring|phar|xml"—— 缺一个都不行 - Ubuntu/Debian：
sudo apt install php-cli php-zip php-json php-mbstring php-xml php-phar - CentOS/RHEL 8+：
sudo dnf install php-cli php-zip php-json php-mbstring php-xml php-phar - 装完别忘了新开终端或运行
hash -r刷新命令缓存 - 某些环境（如 Docker）还禁用了
proc_open，检查：php -r "print_r(ini_get_all(['disable_functions']));"，若含proc_open，得改php.ini
国内用户不配镜像源，composer update 大概率超时失败
全局镜像源必须显式配置，而且项目级配置会覆盖全局设置——很多人配了却没生效，就是被 composer.json 里的 repositories 段落盖掉了。
- 设阿里云全局镜像：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 验证是否生效：
composer config -g --list | grep repo - 如果仍走 packagist.org，检查项目根目录下
composer.json是否有"repositories"字段，删掉或改成镜像地址 - 别用已停服的
https://packagist.phpcomposer.com，它自 2023 年底起已不可用
最常被忽略的是 PHP CLI 和 Web 服务用的不是同一份 php.ini，composer diagnose 会告诉你实际加载的是哪个配置文件——别只看 phpinfo() 输出的那一个。
