回答編集履歴

  ダウンロードしてきたcomposer-setup.phpファイルが、**本当に正しいファイルか**を検証するための処理です。例えば誰かにハックされてcomposer-setup.phpが改ざんされていた場合、hash_fileで得られる値が`544e以下略`ではなくなり、偽物のインストーラが実行される危険性が回避されます。