composer self-update 默认仅同主版本内更新小版本，且易被国内镜像源缓存误导而误判“up to date”；需先切官方源校验、再执行更新，跨主版本（如升v3）须显式指定--3或具体版本号，并满足php≥8.0、权限正常等前提。
composer self-update 不能直接升到“最新版”——它默认只在当前主版本内更新补丁，且极易被国内镜像源缓存误导，显示“Up to date”却卡在旧版（比如 2.5.8），而实际最新稳定版已是 2.7.7 或 3.0.0。
为什么 composer self-update 总是提示 “Up to date” 却没真升级？
这不是命令失效，而是校验逻辑被绕过了：composer self-update 默认从配置的包源（repo.packagist）拉取版本信息，但国内镜像（如阿里云、腾讯云）会缓存官方响应，导致 Composer 根本没连上 https://getcomposer.org/ 做真实比对。
- 先临时切回官方源：
composer config -g repo.packagist composer https://packagist.org - 再执行更新：
composer self-update - 升级成功后立刻换回镜像（推荐阿里云）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ -
--mirror参数只影响包下载，不解决校验问题，不能替代切源操作
怎么升到 v3 或锁定 v2.7.7 这类明确版本？
v3 是不兼容 v2 的主版本跃迁，self-update 默认拒绝跨主版本。必须显式指定通道或版本号，且有前置条件：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 升到最新 v3：
composer self-update --3（注意是两个短横线）——但要求当前版本 ≥2.5.0，否则参数不识别 - 若当前是
2.4.4，得先composer self-update升到2.5.8，再执行--3 - 锁定具体稳定版：
composer self-update 2.7.7（版本号必须精确匹配 GitHub Release tag） - 降级回 v2 最新版：
composer self-update --2 - 查看所有可用通道：
composer self-update --list
Permission denied 或 Signature mismatch 怎么办？
这两类报错背后其实是三类底层依赖没对齐：
-
权限问题：提示
Could not write to /usr/local/bin/composer时，别急着加sudo；优先重装到用户目录：php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');"&&php composer-setup.php --filename=composer --install-dir=$HOME/bin，再确保$HOME/bin在$PATH前置 -
PHP 版本不兼容：v3 要求
php ≥ 8.0；若仍在用 PHP 7.4，升级后首次运行就会因Attribute语法报ParseError；应先升级 PHP，或临时降级：composer self-update 2.4.4 -
签名验证失败：可能是网络截断或中间设备干扰；加
-vvv查日志，或清理缓存：composer clear-cache；生产环境禁用--no-sig-check
手动覆盖安装才是最可靠的兜底方案
当 self-update 因代理、权限或签名校验反复失败时，直接下载官方 composer.phar 覆盖是最可控的做法——它绕过所有运行时校验逻辑，只依赖你对路径和权限的掌控。
- 确认真实路径：
ls -l $(which composer)（注意有些系统是软链指向/usr/local/bin/composer.phar） - 带 SHA384 校验的一键覆盖（防劫持）：
php -r"copy('https://getcomposer.org/installer', 'composer-setup.php');"<br>php -r"if (hash_file('sha384', 'composer-setup.php') === 'dac665fdc30fdd8ec78b38b9800061b4150413ff2e3b6f88543c636f7cd84f6db9189d43a81e5503cda447da73c7e5b6dc97f') { echo 'Installer verified'; } else { echo 'Installer corrupt'; unlink('composer-setup.php'); } echo PHP_EOL;"<br>sudo php composer-setup.php --install-dir=/usr/local/bin --filename=composer<br>php -r"unlink('composer-setup.php');" - 若无
sudo权限，把--install-dir=/usr/local/bin换成--install-dir=$HOME/bin，并确保该目录在$PATH中
真正容易被忽略的是：升级后镜像源配置不会保留，composer config -g repo.packagist 会自动切回官方源；另外，v3 对插件、自定义 installer 和 composer.lock 格式有破坏性改动，老项目里用了非标插件的，务必先在测试分支跑一遍 composer install 和 composer dump-autoload。
