composer镜像ssl错误95%因php未配置ca证书，需用php -r "print_r(openssl_get_cert_locations());"确认default_cert_file和ini_cafile路径存在且可读，再在php.ini中同步设置curl.cainfo与openssl.cafile为同一绝对路径的cacert.pem并重启cli进程。
Composer 镜像的 SSL 证书验证错误，95% 不是镜像本身问题，而是 PHP 的 cURL 或 OpenSSL 找不到或读不了可信 CA 证书文件——修复 curl.cainfo 和 openssl.cafile 才是根治方案；跳过验证只是临时补丁，且极易误用。
怎么确认是证书路径问题，而不是镜像或网络故障
别急着改 Composer 配置，先让 PHP 自己说话：
- 运行
php -r "print_r(openssl_get_cert_locations());"，重点看default_cert_file和ini_cafile的值是否为空、是否指向一个真实存在的 PEM 文件（大小 > 0） - 如果路径是
C:/php/extras/ssl/curl-ca-bundle.crt但文件根本不存在，或/usr/local/etc/php/8.3/openssl.cafile对应目录下压根没这个文件，就是证书缺失 - 再跑
curl -v https://mirrors.aliyun.com/composer/packages.json：如果 curl 也报SSL certificate problem，说明不是 Composer 特有问题，而是底层 TLS 栈失效 - 浏览器能打开镜像地址 ≠ PHP 能通——PHP CLI 环境不继承系统或浏览器证书信任链
正确配置 php.ini 让 Composer 用上可信 CA 证书
Composer 默认复用 PHP 的证书配置，所以必须同时配对两个关键项，且路径必须一致、绝对、可读：
- 下载权威 CA 包：
curl -sS https://curl.se/ca/cacert.pem -o /path/to/cacert.pem（Windows 推荐存到C:/php/extras/ssl/cacert.pem；macOS/Linux 推荐/usr/local/etc/php/cacert.pem） - 找到 CLI 模式下真正生效的
php.ini（运行php --ini查Loaded Configuration File） - 在该
php.ini中添加或修改两行（路径必须写全，不能用~或相对路径）：curl.cainfo = "/path/to/cacert.pem"openssl.cafile = "/path/to/cacert.pem" - 改完保存，**关闭当前终端、新开一个**（CLI 下不需要重启 Apache/Nginx，但 PHP 进程必须重载配置上下文）
- 验证是否生效：
php -r "var_dump(ini_get('curl.cainfo'));"和php -r "print_r(openssl_get_cert_locations());"必须显示你刚写的路径
为什么 composer config --global cafile 经常不生效
这条命令只影响 Composer 自己封装的 HTTP 客户端，无法覆盖 PHP 底层的 curl.cainfo 或 openssl.cafile。优先级顺序是：--cafile 命令行参数 > composer.json 中的 config.cafile > COMPOSER_CAFILE 环境变量 > php.ini 中的 curl.cainfo。
- 运行
composer config --list --global查看当前生效的cafile值，别只信环境变量 - 很多情况下
COMPOSER_CAFILE被php.ini里的curl.cainfo压倒，尤其在 XAMPP/MAMP 环境中，curl.cainfo往往指向一个已过期或被删掉的curl-ca-bundle.crt - 设
cafile为/dev/null（Linux/macOS）或NUL（Windows CMD）比设成空字符串""更可靠；设成"none"或留空反而可能被忽略
临时跳过验证的几种方式及风险边界
仅限开发机、CI 构建机或明确可控的离线环境使用。一旦固化进部署脚本或团队共享配置，就等于主动放弃 HTTPS 安全保障：
- 全局禁用 TLS（最粗暴）：
export COMPOSER_DISABLE_TLS=1（Linux/macOS）或set COMPOSER_DISABLE_TLS=1（Windows CMD），再执行composer install - 单次命令绕过（推荐）：
COMPOSER_DISABLE_TLS=1 composer install（Bash/Zsh）或set COMPOSER_DISABLE_TLS=1 && composer install（Windows CMD） - 注意：
composer config -g secure-http false并非跳过 SSL，而是允许降级到 HTTP 源——Packagist 已强制 HTTPS，实际会直接失败，容易让人误以为“修好了” - CI/CD 中用
COMPOSER_DISABLE_TLS=1最省事，但风险真实存在：所有 HTTPS 请求（包括私有仓库）都失去中间人攻击防护，某些镜像源（如阿里云）还会因校验证书失败而拒绝连接
最易被忽略的一点：系统时间不准也会触发同类错误。SSL 证书验证强依赖本地时钟，虚拟机、老旧设备或 Docker 容器里时间偏移几分钟就可能导致 certificate verify failed——务必先检查 date 输出是否准确。
