composer self-update 是 Composer 官方唯一推荐的自身升级命令，用于原子化替换 composer.phar 文件，自动校验 GPG 签名、备份旧版并失败回退；但自 Composer 2.2.0+ 起默认禁用远程自更新，提示“Command not defined”，需改用包管理器或手动重装。
composer self-update 为什么在 PHP
它根本不是“兼容性问题”，而是 Composer v3 明确拒绝在低于 PHP 8.0 的环境中运行。一旦你执行 composer self-update --3，二进制文件会被替换成 v3 版本，但后续任何命令（如 composer install）都会因 PHP 语法错误直接崩溃——比如 v3 大量使用了 PHP 8.0+ 的联合类型、match 表达式和只读类，PHP 7.4 解析器连文件都加载失败。
更隐蔽的是：即使你跳过 --3，用 composer self-update 升到最新 v2.x，也要求当前 Composer ≥ 2.5.0 才能识别该参数；若你卡在 2.4.x 或更早，命令会静默忽略或报错 Command "self-update" is not defined。
- PHP 7.4 及以下 → 只能停留在 Composer v1 或 v2.4.x 最终版，不能再升
- PHP 8.0–8.4 → 可安全升级到 v2.9.6 或 v3.x（取决于是否显式加
--3） - PHP 8.5.5 → 官方已支持，但需确认 Composer 版本 ≥ 2.9.6（2026年5月发布）
如何判断 self-update 命令是否还可用
别猜，直接运行 composer --version 看输出格式：
- 输出含
Composer version 1.x→self-update仍可用，但最多升到1.10.22，无法跨到 v2 - 输出是
Composer version 2.4.x→self-update可用，能升到当前 v2 主版本下最新小版本（如 2.4.9 → 2.4.15） - 输出是
Composer version 2.5.0或更高 →self-update命令已被官方移除，再执行必报Command "self-update" is not defined
顺手加一句：which composer 和 ls -l $(which composer)，确认它是不是软链接指向 /usr/local/bin/composer.phar 这类只读路径——否则后续重装可能权限失败。
立即学习“PHP免费学习笔记（深入）”；
镜像源导致 “Up to date” 误判的底层原因
国内镜像（如阿里云、腾讯云）会代理 https://getcomposer.org/ 的响应，把 Composer 自身的更新检查请求也缓存并返回旧结果。你看到的 Up to date 不是网络慢，是镜像没同步到 Packagist 官方的最新版本元数据。
解决方法必须两步走：
- 先切回官方源：
composer config -g repo.packagist composer https://packagist.org - 再执行：
composer self-update - 升级完立刻换回镜像源：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
跳过第一步，self-update 就是原地打转——它压根没拿到真实版本号做比对。
CI/CD 中 self-update --dry-run 失败的真正原因
composer self-update --dry-run 是唯一能安全判断是否过期的方式，但它依赖 PHP 的 putenv() 函数来临时设置 HTTP 请求环境。GitHub Actions 默认 runner、GitLab shared runners 等 CI 环境常禁用该函数，导致命令直接报错退出，而不是静默失败。
绕过方法不是改 Composer 配置，而是绕过环境限制：
- 显式调用 PHP 并清空禁用函数列表：
php -d disable_functions= /path/to/composer.phar self-update --dry-run - 或在容器中启动前注入：
export COMPOSER_HOME=/tmp/composer，避免写入权限问题 - 更稳妥的做法：在 CI 脚本里直接锁定版本，如
composer self-update 2.9.6，不依赖联网比对
记住：composer --version 输出的时间戳只是官方打包时间，跟是否最新完全无关；而 composer outdated 查的是项目依赖，不是 Composer 自身——这两个命令在 CI 里用等于白跑。
