composer ssl报错95%是php未配置ca证书所致，需在cli生效的php.ini中同时设置绝对路径的openssl.cafile和curl.cainfo指向同一最新cacert.pem文件，并重启终端验证。
Composer SSL 报错绝大多数不是镜像问题，而是 PHP 底层找不到或读不了可信 CA 证书——修对 php.ini 中的 openssl.cafile 和 curl.cainfo 就能解决，不用关 SSL。
怎么确认是证书路径问题，不是网络或镜像故障
别看错误里有没有 “SSL” 字样，直接让 PHP 自己说：运行 php -r "print_r(openssl_get_cert_locations());"。重点看 default_cert_file 和 ini_cafile 两个字段：
- 如果为空、路径不存在、或对应文件大小 ≤ 10KB（说明是空包或过时 bundle），就是它了
- 再补一刀：
curl -v https://packagist.org/packages.json，如果也报SSL certificate problem: unable to get local issuer certificate，说明问题在 PHP/cURL 层，跟镜像、代理、DNS 都无关 - Windows 用户尤其要注意：XAMPP/WAMP 自带的
curl-ca-bundle.crt多数停更于 2021 年，文件存在但不含 ISRG Root X1 等现代根证书
下载并配置正确的 CA 证书文件
别用系统自带的符号链接或旧包，直接用 Mozilla 官方维护的最新根证书：
- 下载地址：
https://curl.se/ca/cacert.pem - 保存为本地绝对路径，例如：
Windows：C:/php/extras/ssl/cacert.pem
macOS：/usr/local/etc/php/cacert.pem
Linux：/etc/ssl/certs/cacert.pem - 编辑 CLI 模式真正生效的
php.ini（先跑php --ini确认Loaded Configuration File路径）：
取消注释或新增两行（必须写绝对路径，不能用~或相对路径）：openssl.cafile = "C:/php/extras/ssl/cacert.pem"curl.cainfo = "C:/php/extras/ssl/cacert.pem" - 改完保存，关闭当前终端再新开一个——CLI 下不重启 Apache/Nginx，但必须重载 PHP 配置上下文
切中文镜像时最容易踩的三个坑
换镜像本身不能解决 SSL 报错，但配错会雪上加霜。90% 的“配了还是慢/失败”都出在这三处：
-
repo.packagist是唯一合法键名（单数、全小写、无 s）；写成repos.packagist或packagist.org会静默存进无效字段 - 命令末尾必须显式带上
composer—— 这是type值，不是注释；漏掉它，Composer 直接 fallback 到https://packagist.org - URL 必须以
/结尾：https://mirrors.aliyun.com/composer/✅，https://mirrors.aliyun.com/composer❌（少斜杠会导致请求拼成/composerpackages.json，404） - 没加
-g→ 只改当前项目composer.json，换目录就失效 - 执行后没跑
composer clear-cache→ 本地元数据缓存仍指向旧源，一切白配
临时绕过 SSL 校验仅限开发环境
这不是修复，只是应急跳过验证，严禁用于生产：
- 单次命令有效：
COMPOSER_DISABLE_TLS=1 composer install（强制走 HTTP，前提是镜像支持 HTTP 回退） - 或
composer install -n（Composer 2.5+ 支持--no-secure-http） - 注意：
COMPOSER_DISABLE_TLS=1仅对当前命令生效，不影响全局配置；若镜像已关闭 HTTP，则此法无效 - 验证镜像是否真可用：
curl -k --proxy "" https://mirrors.aliyun.com/composer/（-k即--insecure，--proxy ""防止系统代理干扰）
最常被忽略的是：即使镜像配置正确，composer.lock 里记录的 dist.url 仍可能指向原始源，导致 composer install 第一步就失败。必须执行 composer update --lock 刷新锁文件，否则所有配置都是纸上谈兵。
