首先通过SHA-384校验哈希值验证composer.phar完整性，其次可使用GPG签名验证确保来源可信，官方安装脚本则自动完成校验流程。
Composer 提供了多种方式来验证下载的 composer.phar 文件是否完整且未被篡改，确保安全性。主要通过校验文件的 SHA-384 哈希值和使用 GPG 签名验证两种方式。
1. 使用 SHA-384 校验和验证
官方推荐在下载 composer.phar 后，立即比对它的哈希值与官网公布的值是否一致，防止文件在传输过程中被修改。
操作步骤如下：
- 从 https://www.php.cn/link/594ca739e3609243a6b6a3dd8d871114 获取当前版本的 SHA-384 校验和
- 在终端中运行以下命令生成你下载文件的哈希值：
将输出结果与官网提供的进行比对，完全一致则说明文件完整。
2. 使用 GPG 验证签名（更安全）
GPG 签名能验证文件确实由 Composer 团队发布，防止中间人攻击。你需要：
- 导入 Composer 的公钥（仅需一次）：
# 或使用其他可用的密钥服务器，如：
gpg --keyserver hkps://keys.openpgp.org --recv-keys 1DA7EA48E69C3026
- 下载对应的
.phar.asc签名文件（例如composer.phar.asc） - 执行签名验证：
如果显示 "Good signature" 并确认是来自 Composer 开发者，则文件可信。
3. 官方安装脚本自动验证
Composer 官网提供的安装脚本会自动完成上述验证流程：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');"php -r "if (hash_file('sha384', 'composer-setup.php') === '对应哈希值') { echo 'Installer verified'; } else { echo 'Installer corrupt'; unlink('composer-setup.php'); }"
php composer-setup.php
php -r "unlink('composer-setup.php');"
脚本中包含的哈希值会随版本更新变化，务必从官网复制最新代码。
基本上就这些。手动下载后建议至少做 SHA-384 校验，追求更高安全性的团队应启用 GPG 验证。不复杂但容易忽略。
