直接配中文镜像不能绕过ssl验证风险，真正原因多是本地ca证书路径未正确配置；需下载cacert.pem并配置php.ini中curl.cainfo和openssl.cafile，而非仅换镜像源。
直接配中文镜像不能绕过 SSL 验证风险，它只是换了个 HTTPS 地址；真正要“绕过”风险，得先确认你是不是真需要绕过——95% 的情况根本不需要，而是证书路径没配对。
为什么换镜像后还报 SSL certificate problem
镜像地址（如 https://mirrors.aliyun.com/composer/）本身是合法 HTTPS 服务，但 PHP 仍可能因本地 CA 证书缺失或过期而拒绝握手。错误不是镜像的问题，而是你的 curl.cainfo 和 openssl.cafile 没指向一个真实、可读、有效的 cacert.pem 文件。
- 运行
php -r "print_r(openssl_get_cert_locations());"，看default_cert_file和ini_cafile是否为空或路径不存在 - 运行
curl -v https://mirrors.aliyun.com/composer/packages.json，如果也报SSL certificate problem，说明底层 TLS 栈已失效，换镜像无用 -
composer config -g repo.packagist输出必须是https://mirrors.aliyun.com/composer/，否则镜像根本没切成功
配镜像时顺便修复证书路径才真正安全
别把“换源”和“修证书”拆成两步。阿里云、腾讯云等镜像都要求 HTTPS，你配了却仍失败，大概率是 PHP 没加载 CA 包。正确做法是：
- 下载最新
cacert.pem：curl -sS https://curl.se/ca/cacert.pem -o /path/to/cacert.pem - 找到 CLI 模式生效的
php.ini（用php --ini确认） - 在该
php.ini末尾加两行（路径必须绝对、双引号包裹、文件存在）：curl.cainfo = "/path/to/cacert.pem"openssl.cafile = "/path/to/cacert.pem" - 关闭当前终端，新开一个——CLI 不热加载配置
- 验证：
php -r "var_dump(file_get_contents(ini_get('curl.cainfo')) !== false);"应输出bool(true)
临时禁用验证只在特定场景有效
只有当你明确处于以下环境时，才考虑临时关校验，且必须理解后果：
- 内网开发机跑 HTTP 镜像（如
http://192.168.1.100/composer），此时设composer config -g repo.packagist.org.url http://192.168.1.100/composer即可，不涉及证书 - CI 流水线中 base image 是
php:alpine，先apk add --no-cache ca-certificates，而不是设COMPOSER_DISABLE_TLS=1 - 公司代理签发自签名证书，需把代理根证书追加进
cacert.pem，而非全局禁用验证 - 设
COMPOSER_CAFILE=/dev/null或cafile=""可能被php.ini覆盖，优先级低于curl.cainfo
最容易被忽略的是：composer config -g cafile 只影响 Composer 自己封装的 HTTP 客户端，对 Git 克隆、插件调用、或任何绕过该客户端的操作完全无效；而真正发起 HTTPS 请求的是 PHP 的 cURL 扩展——它只认 php.ini 里的 curl.cainfo。
