必须重装Composer才能升级到v2或v3，因self-update命令自2.5.0起被彻底移除；需先确认安装路径与权限，再用官方脚本覆盖重装并校验SHA-384与GPG签名，重装后及时配置国内镜像及修复~/.composer权限。

Composer 已经不能用 self-update 自更新了——这个命令从 v2.5.0 起被官方彻底移除，现在执行会直接报错：Command "self-update" is not defined。你不是装错了，也不是网络问题，是 Composer 团队主动废弃了它。

为什么 self-update 突然失效了

这不是 bug，是设计变更。自 2026 年初起，Composer 放弃“原地打补丁式”升级，转而强制要求“完整重装”，核心原因是：

• Phar 文件增量更新容易校验失败或签名绕过
• 旧版残留权限、缓存、插件状态导致行为不一致
• v2 → v3 等主版本跃迁涉及 lock 文件格式变更（如移除 content-hash），无法安全 patch

你现在看到的任何 “composer self-update 成功” 提示，大概率来自尚未升级到 ≥2.5.0 的旧环境，或者误用了第三方封装脚本。

现在该怎么升级 Composer

必须用官方安装脚本覆盖重装，且全程带 SHA-384 校验 + GPG 签名验证。分三步走：

• 先确认当前安装路径：which composer；再检查是否为只读路径（ls -l $(which composer)）
• 如果是系统级路径（如 /usr/local/bin/composer）且你没写入权限，别硬加 sudo，改用用户级重装：
  php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');" && php composer-setup.php --install-dir=$HOME/bin --filename=composer && rm composer-setup.php
• 确保 $HOME/bin 在 $PATH 前置位置（检查 echo $PATH，必要时加到 ~/.bashrc 或 ~/.zshrc）

重装后务必运行 composer --version 验证，并用 composer diagnose 检查签名验证是否启用、插件是否加载正常。

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

想升 v3？得先确认基础条件

v3 不是“下载即用”，它有硬性前提：

• Composer 本身必须 ≥2.5.0 才能识别 --3 参数（但注意：≥2.5.0 后 self-update 已消失，所以你得先重装到 2.5+，再用新二进制执行 composer self-update --3 —— 这句话本身已矛盾，实际是：v3 安装必须单独走 v3 官方脚本）
• PHP ≥ 8.0（v3 完全放弃对 PHP 7.x 的兼容）
• 项目 composer.lock 必须重建：v3 生成的 lock 文件不含 content-hash 字段，老 lock 直接报错 The lock file does not contain require-dev information

最稳的做法是：删掉现有 composer 二进制，直接运行 v3 官方安装命令（官网最新脚本会自动判断通道并下载对应版本），而不是试图“升级”旧二进制。

真正容易被忽略的是镜像源和权限归属：重装后默认回退到官方源，国内用户得立刻手动配一次阿里云镜像；~/.composer 若属主是 root，新装的 Composer 会读不到全局配置，表现为插件不生效、缓存路径异常——这种问题不会报错，只会静默降级行为。