composer更新报ssl证书错误是因为镜像站（如阿里云）https证书过期，非本地环境问题；可临时禁用验证（composer config -g secure-http false）排查，推荐切换至华为云、腾讯云等未过期镜像源。
Composer 的中文源 SSL 证书过期，不是 Composer 本身问题，而是镜像站（如阿里云、腾讯云、华为云等）的 HTTPS 证书失效了。你无法用 composer self-update 修复它，必须绕过或替换证书验证逻辑。
为什么 composer update 报 SSL 证书错误？
错误通常形如：cURL error 60: SSL certificate problem: certificate has expired 或 Peer's Certificate has expired.。这不是你本地系统证书库的问题，而是 Composer 正在使用的镜像源（比如 https://mirrors.aliyun.com/composer）当前部署的 HTTPS 证书已过期——这在镜像维护滞后时真实发生过（例如 2025 年底阿里云镜像曾短暂出现该问题）。
关键点在于：Composer 默认启用严格的 TLS 验证，不接受过期证书，且不会自动降级或跳过。
- 不是
ca-bundle.crt文件太旧（除非你手动替换了系统 CA 包且出错） - 不是 PHP 的
openssl.cafile配置缺失（那是影响所有 HTTPS 请求，而这里只影响 Composer 源） - 真正卡点是镜像站服务端证书过期，客户端拒绝握手
临时绕过：禁用 SSL 验证（仅限紧急排查）
仅用于快速验证是否确为证书问题，切勿长期开启，否则会暴露包下载过程中的中间人攻击风险。
执行以下命令关闭全局 SSL 验证：
composer config -g secure-http false
之后再运行 composer update。如果成功，说明确实是镜像源证书问题；如果不成功，则需排查其他原因（如 DNS 污染、代理干扰）。
恢复验证（务必执行）：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer config -g secure-http true
切换到未过期的镜像源（推荐操作）
国内主流镜像站中，华为云、腾讯云、中科大源近年更新更及时。可逐个尝试：
- 换华为云：
composer config -g repo.packagist composer https://repo.huaweicloud.com/php/ - 换腾讯云：
composer config -g repo.packagist composer https://mirrors.cloud.tencent.com/composer/ - 换中科大：
composer config -g repo.packagist composer https://mirrors.ustc.edu.cn/composer/
注意：https:// 开头的地址才走 HTTPS；有些镜像（如清华源）已停用 HTTPS 镜像服务，改用 HTTP（不安全），请避免使用 http:// 地址。
验证是否生效：
composer config -g repo.packagist
强制刷新 Composer 的 DNS 缓存与连接池
Composer 内部使用 cURL，但部分错误会缓存失败连接状态。尤其在证书刚更新后，可能仍沿用旧的失败连接。
- 清除 Composer 自身缓存：
composer clear-cache - 重启终端或 shell 会话（避免 cURL 复用过期的 TLS session）
- 若使用 Docker，确保基础镜像中 ca-certificates 已更新：
apt-get update && apt-get install -y ca-certificates
别忘了检查你的网络环境是否启用了企业防火墙或透明代理——它们有时会注入自签名证书，导致校验失败，此时需将代理证书导入系统信任库，而非修改 Composer 配置。
最常被忽略的一点：镜像源证书过期往往是区域性事件，可能只影响某几个 CDN 节点。换源后仍失败，不妨加 -vvv 参数看具体请求 URL 和响应头，确认是否真的打到了目标镜像站，而不是被劫持到了某个过期证书的边缘节点。
