根本不用关ssl验证，95%的composer中文镜像ssl报错是php找不到或读不了可信ca证书——需运行php -r "print_r(openssl_get_cert_locations());"确认default_cert_file和ini_cafile路径存在且可读，再下载curl.se/ca/cacert.pem，于php.ini中统一配置curl.cainfo与openssl.cafile为同一绝对路径并重启环境。
根本不用关 SSL 验证，95% 的 Composer 中文镜像 SSL 报错，是 PHP 找不到或读不了可信 CA 证书——修对 php.ini 里的 openssl.cafile 和 curl.cainfo 就行。
确认是不是 OpenSSL 配置问题，而不是镜像或网络故障
别被错误信息里的 “certificate verify failed” 带偏。先让 PHP 自己说它在用哪个证书文件：
运行 php -r "print_r(openssl_get_cert_locations());"，重点看两个字段：
-
default_cert_file：PHP 默认尝试读的路径，为空、不存在、或文件大小 ≤10KB（说明是空包或旧版 bundle），就是根因 -
ini_cafile：来自php.ini的显式配置，若为空或路径不合法，也直接失效
再补一刀验证：运行 curl -v https://packagist.org/packages.json。如果同样报 SSL certificate problem: unable to get local issuer certificate，说明问题出在 PHP/cURL 层，跟镜像源、代理、DNS 全都无关。
下载并统一配置最新 cacert.pem
必须用 curl.se 官方维护的证书包。XAMPP/WAMP/phpEnv 自带的 curl-ca-bundle.crt 多数停更于 2021 年，无法验证 ISRG Root X1 等现代根证书。
- 下载命令（Linux/macOS）：
curl -sS https://curl.se/ca/cacert.pem -o /usr/local/etc/php/cacert.pem - 下载命令（Windows）：
curl -sS https://curl.se/ca/cacert.pem -o C:/php/extras/ssl/cacert.pem（先手动建好目录） - 编辑 CLI 模式真正生效的
php.ini（先跑php --ini确认Loaded Configuration File路径） - 在文件末尾加两行，路径必须是绝对路径、正斜杠、双引号包裹：
curl.cainfo = "/usr/local/etc/php/cacert.pem"openssl.cafile = "/usr/local/etc/php/cacert.pem"
改完保存后，关闭当前终端再新开一个——CLI 模式不重启终端，新配置不生效；Web 模式（Apache/Nginx）必须重启整个服务，仅重载配置无效。
验证镜像是否真的被用了，而不是静默回退官方源
很多人配了阿里云镜像却仍卡在 Loading composer repositories，是因为配置没生效，Composer 安静地退回了 https://repo.packagist.org。
- 运行
composer config -g repo.packagist，输出必须是完整 JSON 对象，形如{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}；空、null、报错、或返回https://packagist.org，都说明没写对 - 常见写错点：
repo.packagist写成repos.packagist（多一个 s）、漏掉第三参数composer（type 值不可省略）、URL 末尾没加/（https://mirrors.aliyun.com/composer/✅ vshttps://mirrors.aliyun.com/composer❌） - 切源后务必执行
composer clear-cache；Windows 用户还需手动删%LOCALAPPDATA%\Composer\cache - 检查项目根目录
composer.json是否含"repositories"字段，它会优先于全局镜像；临时注释掉再试
最后跑 composer install -vvv --no-progress | head -n 15，看日志第一行是不是 Downloading https://mirrors.aliyun.com/——这才是真实请求地址。
为什么不能只改 curl.cainfo 或只改 openssl.cafile
PHP 在不同场景下会分别读取这两个值：cURL 扩展走 curl.cainfo，OpenSSL 扩展走 openssl.cafile。只配一个，另一个 fallback 到空信任链，照样报错。
Windows 用户尤其容易误判：XAMPP/WAMP 自带的 curl-ca-bundle.crt 文件存在但内容过时，file_get_contents() 能读，openssl 却拒绝验证——得看实际内容是否含现代根证书（比如 ISRG Root X1）。
Linux/macOS 上别信 /etc/ssl/certs/ca-certificates.crt：很多发行版这个路径是空链接、权限为 000，或指向一个已删的文件。PHP 读不了，就会静默 fallback 到无证书状态。
