最稳妥的升级方式是运行 composer update yiisoft/yii2 yiisoft/yii2-composer，前提是 composer.json 未锁死版本；否则需先放宽版本约束，升级前务必备份并避免全量 update 引发兼容问题。
怎么用 composer 安全升级 Yii2 到最新稳定版
直接运行 composer update yiisoft/yii2 yiisoft/yii2-composer 是最稳妥的升级方式，但前提是你的 composer.json 里没锁死 Yii 版本（比如写死 "yiisoft/yii2": "2.0.45"）。如果写了固定版本号，update 不会动它；想升级就得先改 composer.json，把版本约束放宽成 "^2.0.45" 或直接删掉那行让 Composer 自动取最新兼容版。
- 升级前务必
git commit当前代码，或至少备份composer.lock和vendor/ - 别用
composer update全量升级——它可能顺手把你依赖的 Bootstrap、jQuery 插件也升到不兼容版本，引发前端报错 - 执行后检查
composer.lock是否更新了yiisoft/yii2的哈希和版本号，这是真实生效的依据，不是看composer.json - 升级完立刻跑一遍
./yii migrate/up（如有迁移）和关键页面冒烟测试，特别是登录、表单提交、RBAC 权限逻辑
为什么必须先装 fxp/composer-asset-plugin 且版本不能乱配
Yii2 大量依赖 Bower 包（如 jquery.inputmask），而新版 Composer 默认不处理 Bower，得靠 fxp/composer-asset-plugin 桥接。这个插件本身有 PHP 版本和 Composer 版本强依赖：PHP 7.4+ 推荐用 ~1.4.6，PHP 8.0+ 必须用 ^1.4.7 或更高；若装了太老的 1.1.x，你会在 composer update 时卡住并报错 Could not fetch https://api.github.com/... rate limit exceeded——其实是插件解析不了新版 GitHub API。
- 全局安装命令是：
composer global require "fxp/composer-asset-plugin:^1.4.7" - 装完别忘了
composer global update确保插件自身也更新到位 - 如果本地已装旧版，先运行
composer global remove fxp/composer-asset-plugin再重装，避免残留冲突 - 注意：Composer 2.2+ 已原生支持 asset 管理，但 Yii2 官方尚未完全适配，现阶段仍需该插件
升级后常见报错及对应解法
升级完打开首页白屏或报 500，大概率是 PHP 版本不匹配或类名变更导致的致命错误。Yii2.0.40+ 起彻底废弃 yii\base\Object，改用 yii\base\BaseObject，但很多老扩展（尤其非官方的 CRUD 生成器、第三方 grid 组件）还硬写 extends Object，就会触发 Fatal error: Class 'yii\base\Object' not found。
- 错误现象：
Class 'yii\base\Object' not found→ 找到出问题的扩展文件，把use yii\base\Object;改成use yii\base\BaseObject;，继承处也同步替换 - 错误现象：
require(.../vendor/autoload.php): failed to open stream→ 说明vendor/没生成，执行composer install（不是update），确保读取的是composer.lock而非重新解析依赖 - 错误现象：后台登录页 CSS 错乱 / JS 报
$.fn.inputmask is not a function→ 检查composer.lock中bower-asset/jquery.inputmask版本是否跳变（如从3.3.x升到5.x），回退到兼容版：composer require bower-asset/jquery.inputmask:"~3.3.0"
生产环境升级前必须验证的三件事
别信“本地能跑就行”。线上升级失败一次，比写三天新功能影响都大。
- 确认 PHP 版本：Yii2.0.45+ 要求 PHP >= 7.1，但如果你用了
php-fpm配置里的opcache.enable=0，升级后可能因类加载路径变化直接 502，得开 opcache 并重启 fpm - 检查
cookieValidationKey：升级不改配置，但若你之前用的是空字符串或弱随机值，新版 Yii 对 cookie 安全性校验更严，会导致登录态秒失效——确认config/web.php里该值是 32 字符以上随机串 - 验证缓存驱动：如果你用 Redis 做
yii\caching\RedisCache，升级后留意 Redis 连接是否超时（新版默认timeout缩短），加一行'timeout' => 10到缓存组件配置里
真正麻烦的从来不是命令敲几下，而是那些没报错、但权限突然失效，或日志里悄悄多出几十条 Invalid Parameter – yii\base\InvalidParamException 的情况——它们往往藏在某个被忽略的事件监听器或行为（Behavior）里，得翻 runtime/logs/app.log 逐条比对。
