Composer自v2.5.0起彻底移除self-update命令，因Phar原地覆盖存在安全风险，现仅支持通过官方安装脚本覆盖重装；升级前须确认PHP≥8.0、镜像源需手动重配、~/.composer归属为当前用户。
Composer 已在 v2.5.0 起彻底移除 self-update 命令，任何尝试执行该命令的行为都会报错 “Command 'self-update' is not defined”——这不是环境问题，而是官方强制弃用。
为什么 self-update 现在直接报错？
从 2026 年初起，Composer 官方正式删除了 self-update 子命令。根本原因不是“功能冗余”，而是安全与一致性设计升级：Phar 文件的原地覆盖存在签名绕过、权限残留和校验不完整等风险。现在只允许通过完整重装方式更新，确保每个字节都来自可信构建流水线。
常见误判场景：
- CI 脚本里还留着
composer self-update—— 2026 年 3 月后必然失败 - 文档或老教程未更新，仍推荐该命令 —— 实际已不可用
- 执行后看到 “Up to date” 却版本陈旧 —— 那是旧版 Composer 的缓存逻辑，新版连这个提示都不再输出
现在怎么升级到最新稳定版？
唯一可靠方式是使用官方安装脚本覆盖重装。路径和权限必须手动对齐，不能依赖自动发现。
推荐操作（Linux/macOS）：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 用户级安装（最安全，免
sudo）：curl -sS https://getcomposer.org/installer | php -- --install-dir=$HOME/.local/bin --filename=composer
并确认$HOME/.local/bin在$PATH中且位置靠前 - 系统级安装（仅当明确需要）：
curl -sS https://getcomposer.org/installer | sudo php -- --install-dir=/usr/local/bin --filename=composer
注意：sudo必须加在php前，否则权限错位 - CI/CD 流水线中务必加
--no-interaction：curl -sS https://getcomposer.org/installer | php -- --install-dir=/tmp --filename=composer --no-interaction && sudo mv /tmp/composer /usr/local/bin/composer
升级前必须检查的三件事
漏掉任意一项，重装后首次运行就可能崩溃或静默失效。
-
php --version必须 ≥ 8.0 —— Composer 2.5+ 使用 PHP 8.0+ 语法（如 Attributes），PHP 7.4 下直接 Parse Error - 镜像源配置不会自动继承 —— 重装后默认走
https://packagist.org；如需继续用阿里云镜像，重装完立刻执行：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ -
~/.composer目录归属必须是当前用户 —— 若属主为root，新装 Composer 将无法读取全局配置；用ls -ld ~/.composer检查，必要时修复：chown -R $USER:$USER ~/.composer
Windows 用户特别注意
GUI 安装器（如 Composer-Setup.exe）已与新机制不兼容。它安装的 composer.exe 是封装二进制，无法被官方安装脚本识别或替换。
正确做法：
- 卸载 GUI 版本
- 手动下载
composer.phar到用户目录（如C:\Users\YourName\bin\） - 添加该目录到系统
PATH - 创建批处理文件
composer.bat内容为：@php "%~dp0composer.phar" %*
，确保调用链干净
真正容易被忽略的是：重装不是“执行完就完事”。你得亲手验证 composer --version 输出是否匹配 GitHub Releases 页面 的最新 tag，且 which composer（或 where composer）返回的路径与你重装的目标路径完全一致——任何偏差都会导致你以为升了，其实跑的还是旧二进制。
