答案：在composer.json的repositories中为私有仓库配置options.ssl.cafile字段，指定pem格式完整证书链的绝对路径。需确保路径在所有环境（ci、docker、本地）均有效、文件权限正确、内容纯净且含根ca与中间ca，windows路径用正斜杠或双反斜杠。
composer.json 里怎么配自签名证书路径
私有仓库用自签名证书时，composer install 报 SSL certificate problem，不是 Composer 不认你，是它根本没看到你的证书。必须在 composer.json 的 repositories 里显式告诉它“该信谁”。
-
options.ssl.cafile是唯一可靠字段，值必须是 PEM 格式证书的绝对路径（比如/path/to/internal-ca.pem），相对路径会失败 - 证书文件不能是 PFX 或 CRT 二进制格式，得是 Base64 编码的 PEM，且包含完整链（根 + 中间证书），缺一级都校验不过
- 路径要能在所有运行环境访问：CI 节点、Docker 容器、同事本地机器——别写
~/certs/这种用户家目录路径 - Windows 下路径用正斜杠或双反斜杠，比如
C:/certs/internal-ca.pem或C:\certs\internal-ca.pem，单反斜杠会被 PHP 解析为转义字符
全局配置 cafile 和 secure-http=false 的区别
全局设 composer config -g cafile /path/to/internal-ca.pem 是让所有 HTTPS 请求（包括 packagist.org）都信任这个证书；而 secure-http=false 是另一回事——它不解决证书问题，只是允许 Composer 接受 HTTP 源，但 packagist.org 已强制 HTTPS，所以设了也没用，反而可能让你误以为修好了。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
cafile全局配置只影响证书校验逻辑，不影响协议选择，安全边界清晰 -
secure-http=false实际作用是降级协议，对自签名仓库无效（它仍走 HTTPS，只是不强制要求 HTTPS），还可能干扰私有源的options.ssl.cafile优先级 - 两者混用容易冲突：如果全局
cafile指向一个过期 CA 包，而仓库又指定了ssl.cafile，后者优先级更高，但若路径错或权限不足，就会 fallback 到全局那个坏包，报错更难定位
Docker 构建中证书路径失效的常见原因
在 Dockerfile 里 COPY 了证书、也写了 composer config -g cafile /app/certs/internal-ca.pem，但 composer install 依然报错——大概率是路径或权限问题。
- 证书文件必须在容器内真实存在，且
php进程有读权限：ls -l /app/certs/internal-ca.pem看是否显示root:root且权限是644 - Alpine 镜像默认不带 CA 包，
apk add --no-cache ca-certificates必须在composer config之前执行，否则openssl_get_cert_locations()返回的default_cert_file仍是空 - 不要用
VOLUME或tmpfs挂载证书路径，Composer 读的是文件系统静态路径，不是运行时挂载点 - CI 构建用的 base image 如果是
php:8.3-cli-slim，它删掉了大部分证书相关文件，必须手动COPYPEM 并重配cafile，不能依赖镜像自带
为什么 COMPOSER_CAFILE=/dev/null 在某些环境不生效
设环境变量 COMPOSER_CAFILE=/dev/null 理论上应跳过证书校验，但有时仍报错，是因为 Composer 的配置优先级高于环境变量。
- 优先级顺序是：
--cafile命令行参数 >composer.json中config.cafile>COMPOSER_CAFILE>php.ini的curl.cainfo - 如果你的
composer.json里写了"config": {"cafile": "/wrong/path.pem"}，哪怕COMPOSER_CAFILE设成/dev/null，也会先尝试读那个错误路径，然后才 fallback - 用
composer config --list --global查当前生效的cafile，别只信环境变量输出 - 真正可靠的临时跳过方式是：
composer install --no-verify（仅当次命令）或COMPOSER_NO_SSL=1 composer install（绕过整个 TLS 层，不走证书校验逻辑）
openssl s_client -connect your-repo.example.com:443 -showcerts 抓下来的完整链，才是能直接喂给 Composer 的 PEM 内容。
