windows装composer需先验证php环境并配置path，避免安装器静默失败；linux/macos应校验sha-384哈希再安装；国内用户必须配置镜像源；依赖冲突优先检查php版本兼容性而非盲目重装。
Windows上装Composer，别急着点下一步
直接双击 Composer-Setup.exe 大概率失败，不是你操作错，而是它默认不检查 php.ini 的关键配置。最常卡在“找不到PHP”或“SSL not enabled”——其实只是 extension=php_openssl.dll 前面还留着分号；或者 php.exe 路径里有空格（比如 C:Program Filesphpphp.exe），安装器会静默跳过。
实操建议：
- 先用命令行跑
php -m | findstr openssl，确认 OpenSSL 确实已启用 - 把 PHP 目录（含
php.exe）加进系统PATH，路径中避免空格和中文 - 如果仍报错，改用「局部方式」：下载
composer.phar，然后在项目目录下用php composer.phar --version验证——能跑通，说明环境没问题，只是安装器太娇气
Linux/macOS下全局安装，curl | php 不是唯一解
网上一堆教程教用 curl -sS https://getcomposer.org/installer | php，但这个命令没做完整性校验，2026年已不推荐。官方早要求比对 SHA-384 哈希值，否则可能载入被篡改的安装脚本。
实操建议：
- 分三步走：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');"→php -r "if (hash_file('sha384', 'composer-setup.php') === '官方最新哈希值') { echo 'OK'; } else { echo 'Installer corrupt'; }"→ 确认 OK 后再执行php composer-setup.php - 移动前先给权限：
sudo chmod +x composer.phar，再sudo mv composer.phar /usr/local/bin/composer - 装完立刻跑
composer diagnose，它比--version更靠谱——能查出 CA 证书缺失、home 目录不可写等真实隐患
国内用户不配镜像？那下载一个包真能等到茶凉
默认源 https://packagist.org 在国内直连，大概率超时或卡死在 “Resolving dependencies” ——这不是网络问题，是 DNS 污染+长连接阻塞导致的。换镜像不是“锦上添花”，是“能用和不能用”的分界线。
实操建议：
- 全局生效（推荐）：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 项目级覆盖（比如团队强制统一）：
composer config repo.packagist composer https://mirrors.ustc.edu.cn/composer/（注意没-g） - 换完别忘了删缓存：
composer clear-cache，否则旧源还在内存里苟着 - 阿里云镜像偶尔同步延迟，如果某个新版本死活拉不到，临时切回官方源试一下：
composer config -g --unset repos.packagist
composer install 报错，先别删 vendor 和 composer.lock
很多人一见 Your requirements could not be resolved 就狂删 vendor、清缓存、重跑 install，结果更糟。真正的问题往往藏在 composer.lock 和当前 PHP 版本的兼容性里——比如 lock 文件里锁的是 PHP 8.1 的扩展，而你本地是 PHP 7.4，install 必然失败。
实操建议：
- 先看报错里具体哪一行依赖冲突，再查该包的
composer.json里php字段是否匹配你当前版本（php -v） - 如果确定要重算依赖，用
composer update --with-all-dependencies，而不是裸update——后者可能只升一级，留下隐性冲突 - CI/CD 环境务必用
composer install --no-interaction --prefer-dist --optimize-autoloader，少一个参数都可能让构建慢半分钟
最麻烦的从来不是装不上，而是装上了但不知道哪个环节悄悄绕过了验证——比如跳过哈希校验、忽略 diagnose 提示、或者以为换镜像就万事大吉，结果 lock 文件里还钉着半年前的坏引用。