Composer update卡住或报错主因是源不可达、TLS证书校验失败、PHP扩展缺失及依赖约束过严；需依次排查网络协议、源配置、依赖逻辑三层问题。
Composer update 命令卡住或报错的常见原因
多数 composer update 失败不是因为网络“完全不通”，而是请求被阻断、响应异常或本地配置冲突。最常触发失败的是源（repository）不可达、TLS 证书校验失败、PHP 扩展缺失，以及 composer.json 中约束过于严格导致无解依赖图。
HTTPS 源访问失败：cURL error 60 或 SSL certificate problem
这是国内用户最常遇到的错误，表现为 cURL error 60: SSL certificate problem: unable to get local issuer certificate。本质是 Composer 使用的 cURL 无法验证 HTTPS 证书链，尤其在 Windows 或某些 Linux 发行版上默认不带完整 CA 包。
- 临时绕过（仅调试用）：
composer config -g secure-http false+composer config -g github-protocols https，但会降低安全性，不建议长期启用 - 正确做法：下载最新 CA 包（如 https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251），然后在
php.ini中设置curl.cainfo = "/path/to/cacert.pem"，重启 PHP CLI - 若使用 WAMP/XAMPP，注意 CLI 和 Web 环境的
php.ini是两个文件，必须改对 CLI 对应的那个
连接 packagist.org 超时或返回 404/503
packagist.org 官方源在国内直连不稳定，且自 2023 年起已默认禁用 HTTP 协议，强制 HTTPS；同时部分镜像（如阿里云、腾讯云）已停止维护或变更域名，旧配置会直接 404。
- 检查当前源：
composer config -g repo.packagist，确认是否仍指向已失效镜像（如https://mirrors.aliyun.com/composer/） - 切换为可用镜像：推荐使用华为云镜像（稳定）：
composer config -g repo.packagist composer https://mirrors.huaweicloud.com/repository/php/ - 若公司内网有私有源，需确保
composer.json中的repositories顺序合理——私有源应放在 packagist 前，并设"type": "composer"和"packagist.org": false
依赖冲突或内存不足导致 update 中断
错误信息如 Your requirements could not be resolved to an installable set of packages 或 PHP Fatal error: Allowed memory size exhausted，说明问题不在网络，而在本地环境或约束逻辑。
- 内存不足：执行前加内存限制：
COMPOSER_MEMORY_LIMIT=-1 composer update（-1表示不限制） - 依赖冲突：先运行
composer why-not vendor/package:version查具体哪个包在阻止升级；再用composer prohibits vendor/package:version反向查谁依赖了冲突版本 - 避免盲目
update：生产环境应优先用composer install；仅当明确要升级某包时，用composer update vendor/package精确更新，减少求解范围
真正难排查的往往是复合问题：比如 TLS 校验失败后 Composer 自动 fallback 到 HTTP，而 HTTP 又被防火墙拦截，最终报错却只显示超时。建议按「网络协议 → 源配置 → 依赖逻辑」三层顺序验证，别一上来就删 vendor 和 composer.lock。
