必须手动安装官方 composer phar 并校验 sha384：系统源版版本陈旧、不兼容新版 php 和依赖约束，且 /usr/share/php/composer 不可写；需补全 php-zip/php-phar 等扩展并确保 /usr/local/bin 在 path 中。
Ubuntu 上别用 apt install composer
系统源里的 composer 是“假全局”：版本卡在 2.0–2.2（2026 年已落后 5 个大版本），不支持 ^2.5 这类依赖约束，PHP 8.3 兼容性差，升级会失败——因为它的二进制实际指向 /usr/share/php/composer/composer，该路径不可写。你运行 composer --version 看着正常，但一执行 composer install 就报错，就说明中招了。
必须手动安装官方 PHAR 并校验 SHA384
这是唯一能确保安全、可用、可升级的方式。漏掉校验步骤，PHAR 文件可能被中间人篡改，后续所有依赖安装都不可信。
