composer.phar 是 Composer 的单文件 PHAR 可执行本体，需通过 php 命令调用；应从官方校验下载、设 PATH 别名、定期 self-update。
composer.phar 是一个可直接执行的 PHP 归档文件（PHAR），它把整个 Composer 工具打包成单个文件，无需安装、不依赖外部组件，只要系统有 PHP 就能运行。
它不是“安装包”，也不是“安装器”——它本身就是 Composer 命令行工具本体。你执行 php composer.phar install，就等同于在用 Composer 管理依赖。
为什么不能直接双击或当普通文件用？
因为 composer.phar 是 PHAR 格式，必须由 PHP 解释器加载执行，操作系统不认识它的可执行性（windows 尤其明显）。直接双击会报错或打开失败；linux/macOS 下即使加了 x 权限，也因缺少 shebang 或 PHP 路径而无法运行。
- 它必须通过
php命令显式调用：php composer.phar --version - Windows 下默认没注册
.phar文件关联，所以不能像node xxx.js那样省略解释器 - Linux/macOS 可以加 shebang 并设权限，但官方不推荐（兼容性和签名验证问题）
如何给 composer.phar 设置命令行别名（alias）？
目标是让终端里输入 composer 就等价于 php /path/to/composer.phar。不同系统做法不同，但核心逻辑一致：绕过手动敲 php 前缀。
Windows（推荐 .bat 方式）：
- 把
composer.phar放到固定目录，比如C:bincomposer.phar - 在同一目录新建文本文件，重命名为
composer.bat，内容为：@ECHO OFF php "%~dp0composer.phar" %* - 把
C:bin加进系统环境变量PATH（控制面板 → 系统 → 高级系统设置 → 环境变量） - 重启命令行，执行
composer -V应显示版本号
macos / Linux（推荐软链接 + PATH）：
- 确认
composer.phar有执行权限：chmod +x composer.phar - 移动到全局 bin 目录：
sudo mv composer.phar /usr/local/bin/composer - 验证：
composer --version—— 如果报错 “Permission denied”，说明没加x权限；如果报 “command not found”，说明/usr/local/bin不在$PATH中
⚠️ 注意：不要用 shell alias（如 alias composer='php /xxx/composer.phar'）做全局替代，它只在当前 shell 有效，CI/脚本/ide 终端通常不加载你的 .zshrc 或 .bashrc。
手动下载 composer.phar 的安全要点
从非官方渠道下载的 composer.phar 可能被篡改，执行时等于在你服务器上跑任意 PHP 代码 —— 这比“下载一个 exe”风险更高。
-
✅ 正确做法：始终从 https://www.php.cn/link/594ca739e3609243a6b6a3dd8d871114 复制下载链接，或用官方校验命令：
php -r "copy('https://getcomposer.org/installer', 'composer-setup.php');" php -r "if (hash_file('SHA384', 'composer-setup.php') === '544e09ee996cdf60ece3804abc52599c22b1f40f4323403c44d44fdfdd586475ca9813a858088ffbc1f233e9b180f061') { echo 'Installer verified'; } else { echo 'Installer corrupt'; unlink('composer-setup.php'); } echo PHP_EOL;" php composer-setup.php php -r "unlink('composer-setup.php');" -
❌ 危险操作：用浏览器下载后直接重命名、用百度网盘分享链接、用未验证的镜像站提供文件
-
? 补充：下载完的
composer.phar文件建议保留原始哈希值（可用sha384sum composer.phar查），下次更新前比对，防止静默替换。
真正容易被忽略的是：composer.phar 不是“一次下载终身可用”的工具。它会持续更新（比如修复 CVE-2025-XXXX 类漏洞），但很多人把它丢在项目里几年不升级，结果某天 composer update 突然失败，查半天才发现是 PHAR 内部解析器已不兼容新版 Packagist API。定期运行 php composer.phar self-update 才算真正用起来。