必须卸载 apt/yum 安装的 composer，因其版本陈旧（如 ubuntu 22.04 的 2.0.14、centos epel 的 1.10.21），不校验包签名、跳过平台检查、self-update 失效、硬编码调用系统默认 php，导致依赖错配与安全风险。
别用 apt 或 yum 装 Composer —— 你装的不是 Composer，是过期的兼容层，连 ^2.5 依赖都解析不了，更别说 PHP 8.2+ 的类型约束。
为什么 apt/yum 安装的 Composer 一定得卸掉
Ubuntu 22.04 自带 composer 2.0.14，但 22.10 又退回 1.10.22；CentOS EPEL 长期卡在 1.10.21。这些版本：
- 不校验包签名，
composer install下载的可能是被篡改的 zip - 跳过
platform-check和conflict块，导致依赖看似成功实则错配 -
self-update失效，升不到 2.7+，也打不上安全补丁 - 硬编码调用系统默认 PHP（比如 CentOS 的
/usr/bin/php），而你项目实际用的是php8.2，结果报Class ZipArchive not found却查不到原因
运行 composer --version 看到 1.10.x 或低于 2.5，立刻执行：sudo apt remove composer（Ubuntu）或 sudo yum remove php-composer（CentOS），再确认 which composer 不返回 /usr/bin/composer。
下载前必须校验 installer.sig，否则所有依赖都不可信
官方安装脚本不是“下载即用”，中间人可能替换内容。漏掉校验，后续所有依赖都不可信。
分步执行（别合并成一行）：
- 下载安装器：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');" - 获取签名：
HASH=$(curl -sS https://composer.github.io/installer.sig) - 本地计算并比对：
php -r "if (hash_file('sha384', 'composer-setup.php') === '$HASH') { echo 'Installer verified'; } else { echo 'Installer corrupt'; unlink('composer-setup.php'); }"
输出 Installer verified 才继续；否则删掉 composer-setup.php 重来。别用国内镜像站提供的“一键脚本”——它们常把哈希值硬编码进脚本，失去校验意义。
/usr/local/bin/composer 权限和 PATH 必须手动确认
装完跑 composer --version 报 Permission denied？不是文件坏了，是权限没设对。
- 确保可执行：
sudo chmod +x /usr/local/bin/composer - 检查是否在 PATH：
echo $PATH看有没有/usr/local/bin；没有就加：export PATH="/usr/local/bin:$PATH"（写入~/.bashrc持久化） - 非 root 用户（如
www-data或deploy）运行时，还要确认：ls -l /usr/local/bin/composer归属是否为root:root，且权限是-rwxr-xr-x - 如果用容器或最小化系统（如 Alpine、CentOS Stream），
/usr/local/bin可能不在默认 PATH 中，which composer为空就是这个原因
PHP 扩展缺失和 memory_limit 不够会静默失败
composer install 报 zip extension is missing 或直接卡住、崩溃？大概率不是网络问题，而是环境没配齐。
- Ubuntu：
sudo apt install -y php-cli php-zip php-json php-mbstring php-xml php-phar - CentOS/RHEL 8+：
sudo dnf install -y php-cli php-zip php-json php-phar php-xml - 检查关键配置：
php -r "echo ini_get('memory_limit').\"\n\"; print_r(ini_get_all(['disable_functions']));" - 若
memory_limit小于1G，或proc_open在disable_functions里，composer update很可能中途报Killed或Allowed memory size exhausted
最常被忽略的是：装完不验证 PHP 环境是否干净。Composer 启动时加载的是当前用户 shell 下的 php.ini，不是 Apache 或 FPM 的那个。用 php -i | grep 'Loaded Configuration File' 确认路径，再针对性调整。
