必须重装Composer才能升级到v2或v3，因self-update命令自2.5.0起被彻底移除；需先确认安装路径与权限，再用官方脚本覆盖重装并校验SHA-384与GPG签名，重装后及时配置国内镜像及修复~/.composer权限。
Composer 已经不能用 self-update 自更新了——这个命令从 v2.5.0 起被官方彻底移除，现在执行会直接报错：Command "self-update" is not defined。你不是装错了，也不是网络问题，是 Composer 团队主动废弃了它。
为什么 self-update 突然失效了
这不是 bug，是设计变更。自 2026 年初起，Composer 放弃“原地打补丁式”升级，转而强制要求“完整重装”，核心原因是：
- Phar 文件增量更新容易校验失败或签名绕过
- 旧版残留权限、缓存、插件状态导致行为不一致
- v2 → v3 等主版本跃迁涉及 lock 文件格式变更（如移除
content-hash），无法安全 patch
你现在看到的任何 “composer self-update 成功” 提示，大概率来自尚未升级到 ≥2.5.0 的旧环境，或者误用了第三方封装脚本。
现在该怎么升级 Composer
必须用官方安装脚本覆盖重装，且全程带 SHA-384 校验 + GPG 签名验证。分三步走：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 先确认当前安装路径：
which composer；再检查是否为只读路径（ls -l $(which composer)） - 如果是系统级路径（如
/usr/local/bin/composer）且你没写入权限，别硬加sudo，改用用户级重装：php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');" && php composer-setup.php --install-dir=$HOME/bin --filename=composer && rm composer-setup.php - 确保
$HOME/bin在$PATH前置位置（检查echo $PATH，必要时加到~/.bashrc或~/.zshrc）
重装后务必运行 composer --version 验证，并用 composer diagnose 检查签名验证是否启用、插件是否加载正常。
想升 v3？得先确认基础条件
v3 不是“下载即用”，它有硬性前提：
- Composer 本身必须 ≥2.5.0 才能识别
--3参数（但注意：≥2.5.0 后self-update已消失，所以你得先重装到 2.5+，再用新二进制执行composer self-update --3—— 这句话本身已矛盾，实际是：v3 安装必须单独走 v3 官方脚本） - PHP ≥ 8.0（v3 完全放弃对 PHP 7.x 的兼容）
- 项目
composer.lock必须重建：v3 生成的 lock 文件不含content-hash字段，老 lock 直接报错The lock file does not contain require-dev information
最稳的做法是：删掉现有 composer 二进制，直接运行 v3 官方安装命令（官网最新脚本会自动判断通道并下载对应版本），而不是试图“升级”旧二进制。
真正容易被忽略的是镜像源和权限归属：重装后默认回退到官方源，国内用户得立刻手动配一次阿里云镜像；~/.composer 若属主是 root，新装的 Composer 会读不到全局配置，表现为插件不生效、缓存路径异常——这种问题不会报错，只会静默降级行为。
