“Connection reset by peer”是TLS握手被中间设备中断所致，非Composer配置错误；需用curl -v和tcpdump抓包确认Client Hello后无Server Hello即出现RST，再检查OpenSSL版本（如1.0.2k不支持TLS 1.3）、同步配置php.ini中curl.cainfo与openssl.cafile绝对路径并重启服务。
“Connection reset by peer”不是镜像配置错了，而是 TLS 握手在操作系统或 OpenSSL 层就被中间设备（防火墙、代理、NAT、老旧 OpenSSL）主动中断；抓包能看到 TCP RST 包出现在 Client Hello 之后、Server Hello 之前，这说明问题根本不在 Composer 配置，而在底层网络与证书链协同失效。
抓包确认是 TLS 握手失败而非 DNS 或路由问题
别靠猜——用 curl -v 和 tcpdump 或 Wireshark 看真实流量：
- 运行
curl -v https://packagist.org/packages.json，如果停在* TLS handshake或报error:1407742E:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert protocol version，就是握手卡死 - 抓包过滤
tcp port 443 and host packagist.org，若看到客户端发了Client Hello，但没收到Server Hello，紧接着出现 TCP RST 包，100% 是中间设备拦截 -
composer diagnose中 “HTTPS connectivity” 标 ERROR 且含cURL error 35，和上面现象一致，可交叉验证
OpenSSL 版本不支持 TLS 1.3 是国内常见根因
CentOS 7 / RHEL 7 / Windows 上旧版 XAMPP 自带的 OpenSSL 1.0.2k 默认不支持 TLS 1.3，而 Packagist 已逐步强制协商该协议。此时即使证书路径正确，也会被静默重置：
- 执行
openssl version，输出为OpenSSL 1.0.2k或更低 → 必须升级 - Linux：用
sudo yum update openssl（RHEL/CentOS 8+）或换用dnf；老系统建议升级到 OpenSSL 1.1.1+ 或切换为官方 PHP RPM - macOS（Homebrew）：
brew install openssl@1.1，再重装 PHP：brew reinstall php@8.3 --with-openssl - Windows：不要用 PHP ZIP 包，改用 官方线程安全 VC17 x64 版，它自带较新 OpenSSL
php.ini 中 curl.cainfo 和 openssl.cafile 必须同路径且绝对
Composer 的 HTTPS 请求由 PHP 的 cURL 扩展发起，composer config -g cafile 只影响其内部 HTTP 客户端（php-http），对实际 TLS 握手无效。真正起效的是这两个 INI 项：
- 运行
php --ini确认 CLI 模式加载的是哪个php.ini；Web 环境还要单独查phpinfo()输出的 “Loaded Configuration File” - 下载最新
cacert.pem到本地，例如：/usr/local/etc/php/cacert.pem（macOS/Linux）或C:/php/extras/ssl/cacert.pem（Windows） - 在对应
php.ini末尾加两行（注意路径必须绝对、无转义错误）：curl.cainfo = "/usr/local/etc/php/cacert.pem"openssl.cafile = "/usr/local/etc/php/cacert.pem" - 改完必须关终端重开（CLI）或重启
php-fpm/Apache（Web），否则php -i | grep cainfo仍显示旧值
镜像只是缓解，不是修复；阿里云镜像需配合 cafile 才完整生效
阿里云镜像 https://mirrors.aliyun.com/composer/ 使用标准 TLS 1.2+，握手成功率高，但它依然需要验证证书——若 PHP 根本没加载 CA 文件，照样报错：
- 先确保
curl.cainfo和openssl.cafile已正确配置并重启生效 - 再执行：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 清缓存：
composer clear-cache（损坏缓存会复用旧 SSL 错误快照） - 若公司有私有源，必须单独配证书：
composer config -g repos.my-company '{"url": "https://repo.example.com", "type": "composer", "options": {"ssl": {"cafile": "/path/to/internal-ca.pem"}}}'
最容易被忽略的是：同一台机器上 CLI 和 Web SAPI 加载不同 php.ini，改错位置等于白改；还有些环境（如 Laragon、phpEnv）虽然自带 cacert.pem，但 php.ini 里没指向它，得手动对齐路径并验证 file_get_contents(ini_get('curl.cainfo')) 能读取成功。
