Composer安装出现SSL握手错误？CA证书库中文更新方案-composer-PHP中文网

95%的composer ssl握手错误源于php未加载ca证书，需用php -r"print_r(openssl_get_cert_locations());"检查default_cert_file和ini_cafile是否有效，并配置curl.cainfo指向权威cacert.pem（如https://curl.se/ca/cacert.pem），路径须绝对、可读，且重启终端或服务生效。

composer安装出现ssl握手错误？ca证书库中文更新方案

不是证书库没中文，而是根本没加载证书——Composer报SSL握手错误，95%是因为PHP找不到或读不了CA文件，跟语言无关。

怎么确认是CA路径失效而不是网络问题

别看错误里有没有“certificate”字眼，直接运行这行命令：

php -r "print_r(openssl_get_cert_locations());"

重点盯两个字段：default_cert_file 和 ini_cafile。如果值为空、路径不存在、或文件大小 ≤ 10KB（说明是空包或旧版bundle），就是它了。

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

再补一刀：curl -v https://packagist.org/packages.json 如果也报 SSL certificate problem: unable to get local issuer certificate，说明问题在PHP/cURL层，不是Composer配置问题
Windows用户常误以为改了php.ini就完事，其实CLI和Web服务可能用的是两份配置——先跑php --ini确认你正在编辑的是哪一份
macOS Homebrew PHP默认不读/etc/ssl/certs/ca-certificates.crt，哪怕它存在；Linux某些发行版里这个路径只是个000权限的符号链接，PHP读不了

下载并配置cacert.pem（推荐curl.se官方源）

必须用权威来源，别信系统自带或第三方打包的“中文版CA库”——CA证书本身是二进制PEM格式，没有“中文版”概念，所谓“中文更新”只是误传。真正要做的，是让PHP读到最新、完整、可读的证书包。

下载地址：https://curl.se/ca/cacert.pem（Mozilla维护，每日自动更新）
Linux/macOS建议存到固定位置：/usr/local/etc/php/cacert.pem（macOS Homebrew用户可用/opt/homebrew/etc/ca-certificates/cert.pem）
Windows推荐路径：C:/php/extras/ssl/cacert.pem（注意用正斜杠或双反斜杠，且必须加双引号）
写入php.ini时只配curl.cainfo就够了（优先级高于openssl.cafile），例如：curl.cainfo="/usr/local/etc/php/cacert.pem"
改完必须重开终端（CLI）或重启服务（Web），否则php -i | grep curl.cainfo仍显示旧值

composer config --global cafile 为什么经常不生效

这条命令只影响Composer自己封装的HTTP客户端（基于php-http），但实际发起HTTPS请求的是PHP的cURL扩展。一旦涉及Git克隆、插件调用、或某些仓库重定向，就会绕过这个配置，直接走PHP原生TLS栈。

执行后跑composer diagnose看到“CA file configured”不等于真正生效；如果composer install仍报错，大概率是底层cURL没读到证书
它无法覆盖curl.cainfo的优先级，也不能修复OpenSSL握手失败（比如SSL read: error这类底层错误）
如果你用的是Docker容器、CI构建机或企业代理环境，composer config更不可靠——这些场景下PHP进程往往根本不加载Composer全局配置