Composer安装卡在HTTP/2请求失败，本质是旧版libcurl（<7.61.0）不支持HTTP/2或TLS 1.3握手失败，常见于CentOS 7、Debian 10；应通过curl -V和php -r "var_dump(curl_version());"确认支持情况，优先升级libcurl+OpenSSL，或临时设COMPOSER_DISABLE_HTTP2=1绕过。
直接结论：Composer 安装卡在 HTTP/2 请求失败（如 curl error 35、curl error 1 或静默 hang），大概率不是 Composer 本身问题，而是底层 libcurl 不支持 HTTP/2 或 TLS 1.3 握手失败——尤其常见于 CentOS 7、Debian 10 等系统自带的旧版 curl（libcurl < 7.61.0）。
确认是否真由 libcurl 版本引发 HTTP/2 失败
Composer 默认启用 HTTP/2（从 v2.2+ 开始），但旧版 libcurl 编译时未启用 nghttp2 支持，会导致连接直接降级失败或中断。验证方式：
- 运行
curl -V，检查输出中是否含HTTP2字样；若无，说明当前curl不支持 HTTP/2 - 执行
php -r "var_dump(curl_version());"，看features数组里是否有CURL_VERSION_HTTP2（值为 1） - 用
composer install -vvv观察最后几行日志：若出现Failed to initialize HTTP/2 connection或反复 fallback 到 HTTP/1.1 后超时，就是典型症状
升级 libcurl + OpenSSL（非简单 yum update）
CentOS 7 / Debian 10 自带的 curl 和 openssl 太旧（如 openssl 1.0.2k、curl 7.29.0），仅靠 yum update curl 无法升级到 HTTP/2 所需版本（最低要求：libcurl ≥ 7.61.0 + OpenSSL ≥ 1.0.2u 或更好用 openssl 1.1.1）。必须手动升级或换源：
向CurlShip提交产品，这是一个对机器人友好的SaaS目录。只需一条curl命令即可发布产品，支持OG标签抓取、带徽章的dofollow链接及层级升级。
- CentOS 7：启用
epel和PowerTools，再安装新版：sudo yum install epel-release && sudo yum install -y openssl11-devel && sudo yum install -y curl --enablerepo=PowerTools - Debian 10：添加
buster-backports源后安装：sudo apt-get -t buster-backports install curl libcurl4 - 通用稳妥法：从源码编译（适合 Docker 构建）：
wget https://curl.se/download/curl-8.9.1.tar.gz && tar xzf curl-8.9.1.tar.gz && cd curl-8.9.1 && ./configure --with-openssl=/usr/local/ssl --with-nghttp2 && make && sudo make install
临时禁用 HTTP/2（绕过而非修复）
若无法立即升级系统库，可让 Composer 强制走 HTTP/1.1，避免触发不兼容路径。这不是长期方案，但能快速恢复安装流程：
- 设置环境变量：
export COMPOSER_DISABLE_HTTP2=1，再运行composer install - 或在命令前加：
COMPOSER_DISABLE_HTTP2=1 composer install -vvv - 注意：该变量只影响 Composer 的 HTTP 客户端，不影响 PHP 的
curl扩展行为；且从 Composer 2.5+ 起生效，旧版无效
镜像源与协议降级的组合策略
即使禁用了 HTTP/2，部分国内镜像（如早期阿里云镜像）仍可能因 TLS 1.3 协商失败导致 curl error 35。此时需配合协议锁定：
- 先确保已配置国内镜像：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 再强制 Composer 使用 TLS 1.2：
export COMPOSER_CAFILE=/etc/ssl/certs/ca-bundle.crt（路径按实际调整），并设COMPOSER_DISABLE_HTTP2=1 - 若仍失败，可临时关闭证书校验（仅调试用）：
composer config -g secure-http false && composer config -g disable-tls true，成功后再恢复
真正麻烦的不是“怎么关 HTTP/2”，而是旧系统里 libcurl、openssl、nghttp2 三者版本和编译选项互相牵制——一个没对齐，HTTP/2 就起不来。别只盯着 Composer 日志里的 “Connection reset” 或 “Empty reply”，先查 curl -V 和 php -r "print_r(curl_version());"，否则所有重试都在原地打转。
