直接运行 composer self-update 升级到当前主版本最新稳定小版本，不跨主版本；v1 升 v2 需显式加 --2 参数，v2 要求 php ≥ 7.2 且与部分老插件不兼容。
直接运行 composer self-update 就能升到最新稳定版
这是官方唯一推荐的升级方式，它会自动检测、下载、校验并替换当前的 composer.phar，整个过程原子化——失败时旧版本完好保留，不会“升一半废掉”。
你只需要在终端里敲一行：composer self-update
执行完后立刻用 composer --version 确认是否生效。注意：它默认只升到当前主版本的最新稳定小版本（比如 v2.7.x → v2.8.0），**不会跨主版本升级**（v1.x 不会自动变成 v2.x）。
想升 v2？必须显式加 --2 参数
v1 和 v2 是不兼容的大版本：v2 要求 PHP ≥ 7.2，autoload 性能提升明显，但部分老插件、私有仓库认证逻辑（如 OAuth token 处理）会出问题。如果你还在用 v1，composer self-update 永远卡在 1.10.22 这类版本。
要强制切到 v2，得明确告诉它：composer self-update --2
同理，如果误升了 v2 导致项目报错，可退回：composer self-update --1
别指望“自动适配”，Composer 的设计哲学就是「显式可控」——升级哪一版、为什么升，都得你自己决定。
权限错误、超时、国内网络卡住？先看安装路径再动手
报 Permission denied 或 file_put_contents(): failed to open stream，本质是没权限写入 composer 文件所在目录。常见情况：
• which composer 输出 /usr/local/bin/composer → 它是个软链接，指向系统级 composer.phar，此时应：sudo composer self-update
• 但更安全的做法是重装到用户目录：curl -sS https://getcomposer.org/installer | phpmv composer.phar ~/bin/composer
并确保 ~/bin 在 $PATH 中
• 国内用户常因 GitHub 下载慢失败，可临时换镜像源（注意：这是 Composer 自身更新的源，不是项目依赖的源）：composer self-update -vvv 查看卡在哪，再配合 export HTTPS_PROXY=... 或改用腾讯云镜像（https://packagist.proxy.tencent.com）
预发布、回滚、指定版本这些操作要谨慎用
--preview（升 beta/RC）、--snapshot（每日构建）适合测试新特性，但生产环境禁用；composer self-update 2.7.7 可锁定小版本，用来规避某个 patch 的 bug；而 --rollback 是救命稻草——只要上一次更新成功且没被清理，就能秒退。
真正容易被忽略的是签名验证机制：Composer 2.2+ 默认启用 GPG 校验，若网络拦截或代理篡改了下载内容，更新会直接中止。此时不要加 --no-sigcheck 强行跳过，而是检查代理设置或换网络环境——安全机制不是障碍，是提醒你链路可能已被污染。
