php 8.0 默认编译但未必启用或正确配置openssl；“certificate verify failed”主因是cafile路径未设或无效，需通过openssl_get_cert_locations()确认default_cert_file存在且可读，并同步配置openssl.cafile与curl.cainfo指向同一最新ca bundle。
PHP 8.0 默认编译了 OpenSSL 扩展，但不等于它已启用或能正常验证 HTTPS 证书——多数“certificate verify failed”错误根源在 cafile 路径未配置或指向无效文件，而非扩展本身没开。
确认 openssl 扩展是否真正加载
运行 php -m | grep openssl 有输出只是第一步；还需验证它是否链接了支持 PEM 证书路径的 OpenSSL 库（而非系统 NSS/GnuTLS）。常见陷阱是：cURL 扩展存在，但 openssl_get_cert_locations() 返回空的 default_cert_file，说明底层库不认标准 CA bundle。
- 执行
php -r "print_r(openssl_get_cert_locations());"，重点看default_cert_file值是否存在且可读 - 若该路径为空、指向不存在的文件，或内容是过期证书（如 CentOS 7 自带的旧 ca-bundle.crt），后续所有 HTTPS 请求都会失败
- Windows 用户注意：
extension=php_openssl.dll在 PHP 8.0+ 已不推荐，应统一用extension=openssl
正确设置 openssl.cafile 和 curl.cainfo
PHP 不自动读取系统级证书（如 /etc/ssl/certs/ca-certificates.crt），必须显式指定。两个配置项作用不同：openssl.cafile 影响 file_get_contents('https://...') 和 OpenSSL 函数；curl.cainfo 仅影响 cURL 请求。二者都需设，且应指向同一份最新 CA bundle。
- 下载权威 CA 包：
curl -o /usr/local/share/ca-bundle.crt https://curl.se/ca/cacert.pem（Linux/macOS）或保存为C:\php\ca-bundle.crt（Windows） - 在
php.ini中添加两行（路径按实际调整）：openssl.cafile=/usr/local/share/ca-bundle.crtcurl.cainfo=/usr/local/share/ca-bundle.crt - macOS 用户若用 Homebrew 安装 OpenSSL@3，更稳妥路径是：
/opt/homebrew/etc/openssl@3/cert.pem - 改完后必须重启 PHP-FPM 或 Web 服务器，CLI 和 FPM 的 php.ini 可能不同，要分别检查
绕过证书验证的风险与边界条件
临时禁用验证（如设 verify_peer => false）看似快，但会连带关闭 verify_peer_name，导致域名校验失效——这不再是“跳过证书”，而是彻底放弃 TLS 安全边界。PHP 8.2+ 更严格，verify_peer_name 默认强制开启，仅关 verify_peer 会报错。
- 安全写法（仅限调试）：
$context = stream_context_create(['http' => ['method' => 'GET'], 'ssl' => ['verify_peer' => true, 'verify_peer_name' => true, 'cafile' => '/path/to/cacert.pem']]); - 绝对避免：
'verify_peer' => false单独使用；它等价于允许任意中间人伪造响应 - Composer 场景下，
composer config --global disable-tls true是全局降级，比单个请求绕过更危险 - 若公司网络有 TLS 代理，应导出其根证书，再通过
composer config --global cafile /path/to/proxy-root.crt显式信任，而非关验证
CA 证书链不全时的典型现象与验证手段
即使 cafile 路径正确，若证书 bundle 缺少中间 CA（比如 Let’s Encrypt 的 R3），仍会报 unable to get local issuer certificate。这不是 PHP 配置问题，而是证书链断裂。
- 用命令直连目标服务验证：
openssl s_client -connect repo.packagist.org:443 -servername repo.packagist.org -showcerts，观察输出中是否有完整三级链（Root → Intermediate → Domain） - 若只看到域名证书，没有中间证书，说明服务端 Nginx/Apache 未配置
ssl_certificate为 fullchain.pem，而只用了 cert.pem - PHP 层无法补全缺失的中间证书；必须由服务端或 CA bundle 提供完整链
- 自建 OpenSSL 时（如编译新版），务必用
--with-openssl=/usr/local/openssl，而非弃用的--with-openssl-dir，否则 PHP 仍可能链接旧系统库
最易被忽略的是：PHP 运行时读取的证书路径，和你 phpinfo() 页面里看到的 Loaded Configuration File 路径，未必是同一个——CLI、Apache、FPM 各自加载不同的 php.ini，漏配任一环境都会导致 HTTPS 请求在特定上下文失败。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
