Composer 不自动备份 composer.json，推荐用 shell 别名实现带时间戳的安全备份，如 alias cupdate='cp composer.json composer.json.$(date -u +%Y%m%d\_%H%M%S).bak && composer update'。
Composer 本身不提供更新时自动备份 composer.json 的功能，也没有内置开关或钩子能直接触发备份动作。 它的设计哲学是“明确操作、最小副作用”，所以不会在 composer update 或 composer install 过程中悄悄复制文件。但你可以用轻量级、可复用的方式实现它，关键是把备份逻辑放在命令执行前——而不是依赖 Composer 自身扩展。
为什么不能靠 scripts 钩子自动备份？
很多人尝试在 composer.json 的 scripts 里加 pre-update-cmd，比如：
"scripts": {
"pre-update-cmd": "cp composer.json composer.json.bak"
}
这看似合理，但存在两个硬伤：
-
pre-update-cmd只在显式运行composer update时触发，而composer install（尤其 CI 环境）可能跳过它，导致备份缺失 - 如果
composer.json当前有未提交的修改，cp会覆盖已有.bak，且无时间戳或校验，无法回溯
推荐做法：用 shell 别名封装安全更新流程
最可靠、零依赖的方式是绕过 Composer 钩子，改用 shell 层统一控制。以 Bash/Zsh 为例，在 ~/.zshrc 或 ~/.bashrc 中添加：
Json Schema Toolkit
下载
使用 JSON Schema 验证 JSON 数据，从示例 JSON 生成 schema，并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。
alias cupdate='cp composer.json composer.json.$(date -u +%Y%m%d_%H%M%S).bak && composer update'
这样每次输入 cupdate 就自动完成带时间戳的备份 + 更新。关键点：
- 时间戳格式
%Y%m%d_%H%M%S确保文件名唯一，避免覆盖 - 命令用
&&连接，任一环节失败（如无composer.json）则后续不执行 - 不修改项目目录结构，不侵入
composer.json，对 CI/CD 友好
如果必须用 Composer 钩子，如何规避常见坑？
若团队强依赖 scripts（例如统一 CI 脚本），至少要补全容错逻辑：
- 用
date命令生成带毫秒的时间戳（Linux/macOS）：$(date +%s%3N) - 检查源文件是否存在：
[ -f composer.json ] && cp composer.json composer.json.$(date +%s%3N).bak - 加上
pre-install-cmd和pre-update-cmd双钩子，覆盖更多场景 - 备份路径建议写绝对路径或
$(pwd)，避免在子目录执行时出错
示例片段：
"scripts": {
"pre-install-cmd": "[ -f composer.json ] && cp composer.json $(pwd)/composer.json.$(date +%s%3N).bak",
"pre-update-cmd": "[ -f composer.json ] && cp composer.json $(pwd)/composer.json.$(date +%s%3N).bak"
}
真正容易被忽略的是：备份不是目的，可验证的还原才是。别只存一个 .bak，建议定期清理旧备份（比如保留最近 5 个），并在 CI 日志里打印备份路径——否则等真要恢复时，才发现 composer.json.1712345678901.bak 是哪次更新产生的，就只剩猜了。
