别用 composer global update 修零日漏洞，它大概率静默失败或报错；紧急修复应先执行 composer self-update 升级 composer 本体至 2.9.6 或 2.2.27，再显式重装受影响的全局工具。
别用 composer global update 修零日漏洞——它大概率静默失败或直接报错，根本升不动关键包。
为什么 composer global update 在紧急场景下不可靠
这个命令只按 ~/.composer/composer.json 里的版本约束走，而该文件通常不存在、为空，或锁死了过时版本（比如 "laravel/installer": "^4.0"）。它不会自动发现你装过什么，也不关心当前环境是否兼容新版。遇到依赖冲突（如 PHP 版本不匹配、symfony/console 版本打架），Composer 直接退出并抛出模糊错误：Your requirements could not be resolved，不指明是哪个包卡住的。
- 执行后无输出、版本没变 → 很可能
~/.composer/composer.json根本不存在 - 报
Root composer.json requires ... but ... is installed→ 某个全局包的平台要求（PHP/扩展）已和你本地不兼容 - 想升
phpunit/phpunit到 v10 却失败 → 因为deployer/deployer还依赖旧版symfony/console，Composer 拒绝破坏图
紧急修复必须显式重装单个工具
零日漏洞往往集中在特定 CLI 工具（如 laravel/installer、symfony/cli、phpstan/phpstan），修复动作要精准、可验证、不牵连无关包。正确路径是查版本 + 显式 require：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 确认当前装了什么：
composer global list或composer global show - 查目标包最新稳定版：
composer global show vendor/package-name --all（看标记为latest的那个） - 强制重装指定版本：
composer global require vendor/package-name:^5.0 --update-with-dependencies - 漏掉
--update-with-dependencies很危险：新主包可能依赖symfony/console ^6.0，但旧依赖还锁着 ^5.4，运行时报错
PATH 和 bin-dir 失效比升级失败更常见
即使 composer global require 成功返回，你也可能遇到 command not found。这不是没装上，而是系统找不到二进制文件。
- 检查
~/.composer/vendor/bin/是否在$PATH中：echo $PATH | grep -o "$HOME/.composer/vendor/bin" - 若无输出，补进 shell 配置（如
~/.zshrc）：export PATH="$HOME/.composer/vendor/bin:$PATH" - 重载配置：
source ~/.zshrc - 验证生效：
which package-name应输出/home/xxx/.composer/vendor/bin/package-name -
composer global list不校验可执行性，不能代替which或实际运行测试
Composer 2.9.6 / 2.2.27 必须优先更新，与全局包无关
这次 CVE-2026-40176 和 CVE-2026-40261 是 Composer 自身的高危命令注入漏洞，影响所有使用场景——无论你装了多少全局包，只要用 Composer 解析含恶意 Perforce 元数据的 composer.json 或连接恶意仓库，就可能被远程执行命令。它不依赖任何第三方包，只依赖 Composer 版本。
- 立即执行：
composer self-update（会升到最新稳定版） - 若卡在旧版（如 2.2.x），强制指定：
composer self-update 2.2.27或composer self-update 2.9.6 - 验证：
composer --version输出应含2.9.6或2.2.27 - 临时缓解无效：禁用 Perforce 源、检查文件、换分发包，都只是降低风险；不升级 Composer 本体，漏洞仍在
真正麻烦的不是“怎么升”，而是升完才发现 PATH 没配、某个旧包把 PHP 版本卡死了、或者误以为 global update 能兜底结果漏掉了 self-update —— 这些细节比命令本身更容易让修复停在半路。
