直接用 composer create-project 安装 Magento 2 必须指定精确稳定版本号（如 2.4.7-p1）、显式配置 --repository-url=https://repo.magento.com/、添加 --no-install 参数，并在安装后执行 composer install --no-plugins，否则易因默认拉取开发分支、私有包访问失败或插件自动修改 composer.json 而失败。
直接用 composer create-project 安装 Magento 2 是可行的，但默认行为会拉取开发分支（如 2.4-develop），不是稳定版，极易失败或卡在依赖解析阶段。必须显式指定稳定版本号，并禁用插件自动执行。
为什么 composer create-project magento/project-community-edition 常失败
该命令默认不带版本约束，Composer 会尝试匹配最新可用包（含 dev 分支），而 Magento 2 的 project-community-edition 包在 Packagist 上对 dev- 分支设置了高优先级，且依赖中大量使用 ^ 和 ~ 版本约束，容易触发冲突。同时，Magento 自定义插件（如 magento/composer-root-update-plugin）会在安装后自动运行，强行修改 composer.json，导致后续操作异常。
解决办法：
- 始终指定精确的稳定版本号，例如
2.4.7-p1或2.4.6（查官方 Release 页面确认） - 加
--no-install参数跳过自动install，避免插件提前介入 - 安装后手动运行
composer install --no-plugins禁用所有插件执行 - 确保 PHP 版本匹配目标 Magento 版本（如 2.4.6 要求 PHP 8.1，2.4.7-p1 支持 PHP 8.2）
composer create-project 正确命令格式
以安装 Magento 2.4.7-p1 为例（PHP 8.2 + MySQL 8.0 + Redis 7+ 环境）：
composer create-project \ --repository-url=https://repo.magento.com/ \ magento/project-community-edition=2.4.7-p1 \ my-magento-store \ --no-install
关键点：
-
--repository-url必须显式指定，否则无法访问私有包（即使 CE 版也依赖部分私有元数据） - 版本号写全，不能写
2.4.7（它不对应任何 tag，实际要写2.4.7-p1） - 目录名
my-magento-store不能为.或已存在目录 - 执行前需先配置 Magento 认证令牌（
auth.json放在项目根目录或COMPOSER_HOME）
安装后必须做的三件事
运行完 create-project 后，别急着 setup:install：
- 进入目录，执行
composer install --no-plugins：绕过magento/composer-root-update-plugin的自动重写逻辑 - 检查
app/etc/env.php是否生成；若无，说明install阶段未完成，此时不要手动创建，应先确认vendor/autoload.php可加载、bin/magento有执行权限 - 设置文件权限：Magento 要求
var/、generated/、pub/static/、pub/media/可写，但不能简单chmod -R 777；推荐用find var generated pub/static pub/media app/etc -type f -exec chmod g+w {} + && find var generated pub/static pub/media app/etc -type d -exec chmod g+ws {} +
最易被忽略的是 --no-plugins 和认证源配置——没它们，90% 的“安装卡住”“Class not found”“Invalid repository config”问题都源于此。
