composer ssl报错95%因php未加载ca证书，需在cli生效的php.ini中同时配置绝对路径的curl.cainfo和openssl.cafile指向同一cacert.pem，并重启终端或服务验证。
Composer 安装时出现 SSL 报错，95% 的情况不是网络或镜像问题，而是 PHP 根本没加载可信 CA 证书——修对 php.ini 里的 curl.cainfo 和 openssl.cafile 就能解决，不用关 TLS。
怎么确认是证书路径问题而不是网络故障
先跑这行命令，看 PHP 自己认不认证书：
php -r "print_r(openssl_get_cert_locations());"
重点检查输出里的 default_cert_file 和 ini_cafile 是否指向一个真实存在的文件（大小 > 0），且路径不是空字符串。如果路径不存在、权限为 000、或文件内容为空，就是根因。
- Windows 常见现象：
default_cert_file指向C:\php\extras\ssl\curl-ca-bundle.crt，但该文件根本没下载或已被删 - macOS（Homebrew PHP）：
default_cert_file可能是/usr/local/etc/php/8.3/openssl.cafile，但目录下压根没这个文件 - Linux（如 Alpine 镜像）：
/etc/ssl/certs/ca-certificates.crt存在但过期，或容器里压根没装ca-certificates包 - 用
curl -v https://packagist.org/packages.json测试：如果也报SSL certificate problem，说明是底层 cURL/PHP 层失效，不是 Composer 特有问题
curl.cainfo 和 openssl.cafile 必须同时配且路径一致
这两个配置项必须写在同一份 php.ini 中，且值必须是**绝对路径**、指向同一个 cacert.pem 文件。只改一个或路径不一致，PHP 仍会 fallback 到空信任链。
- Windows 示例（路径用正斜杠或双反斜杠）：
curl.cainfo = "C:/php/extras/ssl/cacert.pem"openssl.cafile = "C:/php/extras/ssl/cacert.pem" - macOS/Linux 示例：
curl.cainfo = "/usr/local/etc/php/cacert.pem"openssl.cafile = "/usr/local/etc/php/cacert.pem" - 证书文件必须从权威源下载：https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251，别用系统自带的符号链接或旧 bundle
- 改完后必须关闭当前终端重开（CLI 模式），或重启 Apache/Nginx/php-fpm（Web 模式）——光刷新页面或
service restart不一定 reload 配置
composer config --global cafile 为什么经常不起作用
这条命令只影响 Composer 自己封装的 HTTP 客户端（基于 php-http），而实际发起 HTTPS 请求的是 PHP 的 cURL 或 OpenSSL 扩展。它无法覆盖 curl.cainfo 的优先级，也不能修复底层 TLS 握手失败。
- 你运行
composer config --global cafile /path/to/cacert.pem后，composer diagnose可能显示 “CA file configured”，但composer install依然报错，就是典型表现 - 它只在 Composer 使用自己的 HTTP 客户端时生效；一旦涉及 Git 克隆、cURL 直连或某些插件调用，还是会走 PHP 原生扩展
- 如果你非要用它（比如没权限改
php.ini），路径必须是绝对路径，且文件需存在、权限为 644；Windows 上注意用正斜杠或双反斜杠
临时禁用 TLS 的边界在哪
COMPOSER_DISABLE_TLS=1 或 composer config --global secure-http false 只适合快速验证是否为证书问题本身，不能作为长期方案。
- 它们绕过的是整个 HTTPS 加密层，依赖包可能被中间人篡改，尤其在 CI/CD 或共享服务器上极其危险
- 同一台机器 CLI 和 Web SAPI 可能加载不同
php.ini，你改了 CLI 的配置，但 CI 脚本跑在 php-fpm 下，照样报错 - 企业代理环境（如 Zscaler）下禁用 TLS 可能导致更隐蔽的问题，比如部分域名解析失败或响应头被污染
- 真正安全的做法是补全证书链，哪怕只是把
cacert.pem放进项目目录，再通过环境变量指定：export PHP_INI_SCAN_DIR=/path/to/project/conf，让 PHP 加载自定义 ini 片段
最常被忽略的一点：PHP CLI 和 Web SAPI 加载的 php.ini 往往不是同一个文件，改错位置等于白改；验证前务必先运行 php --ini 确认 Loaded Configuration File 路径。
