Composer环境配置：手把手教你搭建高效PHP开发环境

Composer跑不起来，十有八九不是它自己的问题，而是PHP环境没铺平道路。说白了，php -v能不能正常输出版本、php --ini能不能定位到正确的配置文件、php -m列出的扩展列表里有没有openssl和mbstring——这三个环节任何一个掉链子，Composer都会直接罢工。下面这几个坑，几乎是人人都会踩一遍的。

php.exe找不到或版本对不上

最常见的场景：Windows下装好了XAMPP或WAMP，兴冲冲打开命令行敲个composer -v，结果系统甩回来一句“command not found”或者“PHP is not recognized”。不用慌，本质问题很简单——系统根本不知道php.exe藏在哪儿。

先检查一下：在命令行里跑php -v，如果失败，那说明PHP CLI没有加到系统PATH里。如果成功了，接下来看版本号。Composer 2.5以上版本要求PHP至少是8.0，如果你的项目还跑在PHP 7.4上，就得用Composer 2.4或者降级安装器。

对于XAMPP用户，默认PHP路径是C:\xampp\php。把这个路径加到系统环境变量的Path里（注意是系统变量，不是用户变量，避免权限问题）。加完之后务必新开一个CMD或PowerShell窗口验证，旧窗口不会自动刷新PATH。

还有个细节：别用Git Bash去跑php composer.phar。Git Bash的路径解析机制会把C:\xampp\php转成/c/xampp/php，这一转，autoload就直接崩了。

openssl、mbstring这些扩展明明开了，怎么还报错

这个问题有意思的地方在于：你去php -m一看，扩展列表里openssl、mbstring、zip、curl全都在，但composer install要么卡住不动，要么报个Could not open input file: composer.phar，要么干脆无提示直接退出。这其实是PHP加载失败导致的“假错误”，真正的根源在php.ini配置没生效。

先跑php --ini看看实际加载的是哪个php.ini文件。XAMPP默认是C:\xampp\php\php.ini。打开这个文件，确认下面四行前面没有分号：extension=openssl、extension=mbstring、extension=zip、extension=curl。改完保存，重启Apache（XAMPP控制面板点Stop再Start），然后跑php -m | findstr openssl验证一下是否真的加载了。

另外多说一句：Windows下某些杀毒软件（比如360）会拦截php_openssl.dll的加载，如果改完配置还不行，不妨临时关掉杀毒软件试试。

composer install卡在downloading packages.json

这种情况往往让人误以为是Composer坏了。其实不是，是它默认连的是https://packagist.org，国内DNS污染加上TLS握手超时，导致响应无法解码。尤其在公司内网或者CI环境，这个问题更常见。

先跑composer diagnose，重点看“Checking HTTP connectivity to packagist”这一项有没有超时。超时的话，全局换阿里云镜像：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/。

这里有个坑：如果项目里已经有了composer.json并且包含了repositories字段，它会覆盖全局设置。解决办法是把项目级的repositories删掉，或者改成和全局一致。换源之后记得清缓存：composer clear-cache，否则可能还在用旧的包索引。

require版本写错，update装了一堆不能跑的包

这才是真正容易踩雷的地方。^2.0允许升到2.9.9，但假设作者在2.5.0版本里引入了PHP 8.1的enum特性，而你的环境还是PHP 8.0，一跑就直接Fatal error。再比如说~1.2.3看似安全，但万一作者把1.2.4当作破坏性更新发出来，照样崩。

生产环境永远用精确版本：composer require monolog/monolog:2.9.3，不带^或~。开发中试新功能，优先用分支名：composer require vendor/name:dev-main --dev，但前提是对方的composer.json里有autoload-dev配置。

还有一个很容易被忽视的细节：别删composer.lock重装。install是按lock文件还原依赖，update才重新解析依赖树。把这两个命令混着用，等于自己破坏环境一致性。PHP版本锁死也很关键——检查composer.json顶部的config.platform.php，必须和你实际运行的php -v严格一致。

最后提一个最容易被忽略的点：XAMPP启动Apache时，它用的是httpd.conf里的PHP模块（LoadModule php_module），而Composer运行走的是CLI模式（php.exe），两者用的不是同一份php.ini。所以你在Apache页面看到phpinfo()显示openssl已启用，不代表Composer就能用——必须单独验证CLI环境。这一点，值得牢记。