不能用 composer self-update --version=1.x 降级，因 Composer 2.x 更新逻辑硬编码对接 v2 API，输入 1.10.22 会返回 404；必须卸载当前二进制、校验 SHA384 后重装 1.10.22 PHAR，并删除 composer.lock、allow-plugins 字段及调整 auth.json 认证格式。
不能用 composer self-update --version=1.x 降级到 1.x，这条命令在 Composer 2.x 中根本不会请求 v1 的发布通道，只会报 Could not find version 或静默失败——你看到的“成功”其实是假象。
为什么 composer self-update --version=1.10.22 一定失败
Composer 2.x 的更新逻辑硬编码对接 v2 发布 API，无论你输什么版本号，底层都拼 https://getcomposer.org/download/2.x/...。输入 1.10.22 只会让服务器返回 404，不是网络问题，是设计上就切断了跨大版本回退能力。
-
composer self-update --1会直接报错Unknown option: --1，该参数早在 2.0 就被移除 - 试图用
--no-ssl或换镜像源也无效，因为self-update根本不走packagist镜像配置 - 删
~/.composer/vendor/composer没用：2.x 的核心已编译进 PHAR，清空 vendor 不影响二进制行为
必须卸载 + 重装 1.10.22 的实操步骤
官方明确不支持“就地降级”，唯一可靠路径是彻底替换 PHAR 文件。1.10.22 是 1.x 最后稳定版，兼容 PHP 5.3–7.4 和绝大多数 legacy 插件（比如缺失 fxp/composer-asset-plugin 替代方案的老项目）。
- 运行
which composer确认路径（常见为/usr/local/bin/composer） - 执行
sudo rm /usr/local/bin/composer彻底删除当前二进制 - 下载并校验：
curl -sS https://getcomposer.org/download/1.10.22/composer.phar -o /tmp/composer-v1.phar，再用官网公布的 SHA384 值核对（跳过=风险） - 移动并赋权：
sudo mv /tmp/composer-v1.phar /usr/local/bin/composer && sudo chmod +x /usr/local/bin/composer - 验证：
composer --version必须输出Composer version 1.10.22
降级后必须同步清理的三处残留
1.x 和 2.x 的 lock 文件格式、插件加载机制、依赖解析策略互不兼容。不清理会引发静默失败或行为偏移。
- 删掉项目根目录下的
composer.lock：1.x 无法读取 2.x 生成的 lock 文件，会直接报Invalid argument - 删掉
composer.json中的allow-plugins字段：1.x 不识别该配置，保留会导致Plugin installation failed - 检查
auth.json认证方式：1.x 不支持 2.x 引入的 token-based 认证格式，需回退为http-basic形式
老项目配国内镜像源要避开的坑
很多老项目用的是 PHP 7.2 或更早版本，且依赖私有仓库插件，这时候镜像源配置稍有偏差就会卡在 Loading composer repositories ——不是网速问题，是 URL 拼接错误导致 404。
- 全局配置必须用
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（注意末尾斜杠、repo单数、composer类型声明缺一不可） - 别信
composer config -g输出为空就去重试：先运行composer config -g repo.packagist，正确输出应为完整 JSON 对象，否则说明没写对 - 项目级优先级更高，如果
composer.json里已有"repositories"字段，全局设置自动失效；此时进项目目录运行composer config repo.packagist composer https://mirrors.aliyun.com/composer/（去掉-g）才真正生效 - 换源后首次
composer install若报 hash 校验失败，必须删掉vendor和composer.lock重来，否则旧缓存会干扰新源解析
最易被忽略的是：降级后不重生成 composer.lock，而是直接 install，结果包版本还是按 2.x 的解析逻辑锁死的——看似装上了，实际运行时可能因扩展缺失或 PHP 版本不匹配而崩溃。
