composer不读php.ini的curl.cainfo或openssl.cafile，而依赖自身ssl.cafile全局配置；需用绝对路径设置composer config --global ssl.cafile，并确保pem文件格式正确、权限可读、链完整。
Composer 不是“需要”配 CA 路径，而是它默认信任系统 CA，但某些环境里这个信任链根本不存在或不可用——你看到的 cURL error 60 或 “unable to get local issuer certificate”，本质是 OpenSSL 找不到可信根证书。
为什么设置了 curl.cainfo 还是报错？
因为 Composer 完全不读 PHP 的 curl.cainfo 或 openssl.cafile 配置项。它走自己的加载逻辑：先查全局配置里的 ssl.cafile，再 fallback 到系统默认路径（比如 openssl_get_cert_locations() 返回的 default_cert_file）。你在 php.ini 里改了，对 Composer 没任何影响。
- 验证当前 PHP 系统级 CA 路径是否有效：
php -r "print_r(openssl_get_cert_locations());"，重点看default_cert_file是否存在、可读、内容是 PEM 格式 - 常见无效路径：
/usr/lib/ssl/cert.pem（Alpine 容器里压根没生成）、C:\php\extras\ssl\cacert.pem（文件被删或权限不对） - 别在
php.ini里硬写路径，除非你确定所有工具（包括 Composer、PHP CLI、Web 服务器）都共用同一套配置
composer config --global ssl.cafile 为什么没生效？
三个最常被忽略的原因：路径不是绝对路径、文件格式不对、没用 --global。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer config ssl.cafile ./ca.pem是无效的——相对路径会被忽略，必须写成/etc/ssl/certs/company-ca.pem（Linux）或C:/wamp64/ca.pem（Windows，注意用正斜杠或双反斜杠） - 文件必须是纯 PEM 格式，以
-----BEGIN CERTIFICATE-----开头，且只含证书（不能有私钥、注释、空行、BOM）；用openssl x509 -in ca.pem -text -noout能成功解析才算合格 - 项目级配置
composer config ssl.cafile ...对 HTTPS 仓库认证完全无效——它只影响极少数本地路径解析，TLS 握手必须靠全局配置
如何生成 Composer 能用的 PEM 证书链？
很多公司给的 .cer 或浏览器导出的 .crt 是 DER 格式或单证书，直接丢进 ssl.cafile 必然失败。必须合并完整链并转为 PEM。
- 如果是 DER（比如 Windows
.cer）：openssl x509 -inform DER -in your-ca.cer -outform PEM -out ca.pem - 如果私有仓库用了中间 CA，需合并中间 CA + 根 CA：
cat intermediate.crt root.crt > company-ca.pem（顺序不能错，中间在前、根在后） - 验证合并结果：
openssl x509 -in company-ca.pem -text -noout，报错就说明文件损坏或混入了非 PEM 内容 - 权限检查：PHP 进程（如
www-data或容器里的www用户）必须能读这个文件；家目录下的路径在 nginx/php-fpm 下常因权限被拒
Composer ≥2.5 的静默 fallback 很危险
新版不再简单把 ssl.cafile 透传给 cURL，而是先尝试用它初始化 OpenSSL 上下文。一旦路径错、格式错、权限不足，就静默忽略，退回到系统默认 CA——然后继续报 cURL error 60。你根本看不到“配置加载失败”的提示，只会反复怀疑是不是网络问题。
真正可靠的验证方式只有两个：composer config --global --list | grep ssl.cafile 看是否输出了正确路径；以及用 openssl s_client -connect your-private-repo.com:443 -CAfile /path/to/company-ca.pem 手动测试证书链是否被认可。其他都是障眼法。
