根本原因是系统时间偏差超2分钟或php未加载有效ca证书；需先校准时间（linux/macos用timedatectl、windows用w32tm /resync），再通过php -r "print_r(openssl_get_cert_locations());"确认default_cert_file和ini_cafile路径有效性，并同步配置curl.cainfo与openssl.cafile指向同一最新cacert.pem绝对路径。
证书过期导致 Composer 镜像同步报错，根本不是镜像源“失效”或需要换链接——是 PHP 底层 TLS 校验时找不到有效根证书，或者系统时间偏差太大让证书的 notBefore/notAfter 范围失效。必须先定位到底是哪一层断了。
检查系统时间是否偏差超 2 分钟
Composer 依赖 OpenSSL 验证 HTTPS 证书有效期，一旦本地时间快/慢超过 2 分钟（常见于虚拟机、Docker、休眠唤醒后的 Windows），就会直接触发 SSL certificate problem: certificate has expired。
- Linux/macOS：运行
date对比curl -s https://worldtimeapi.org/api/ip | jq '.datetime'（需装jq），偏差 > 120 秒必须修复 - Windows：以管理员身份运行
w32tm /resync；若报错The service has not been started，先执行net start w32time - 别信右下角“已同步”，它只在开机/唤醒时同步一次，之后不再更新
确认 PHP 是否加载了有效的 CA 证书文件
运行 php -r "print_r(openssl_get_cert_locations());"，重点看：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
default_cert_file：路径是否存在？文件大小是否 > 0？最后修改时间是否早于 2023 年？（旧证书不含 ISRG Root X1） -
ini_cafile：是否和default_cert_file一致？不一致说明你改错了php.ini或加载了错误的配置文件 - 常见失效路径：
/etc/ssl/certs/ca-certificates.crt（Ubuntu 旧版）、C:/php/extras/ssl/cacert.pem（XAMPP 自带老包）
同时配置 curl.cainfo 和 openssl.cafile
PHP 的 HTTPS 请求分两路：cURL 扩展走 curl.cainfo，OpenSSL 扩展（如 file_get_contents）走 openssl.cafile。只配一个，另一路仍会 fallback 到空信任链。
- 下载最新官方证书：
curl -sS https://curl.se/ca/cacert.pem -o /usr/local/etc/php/cacert.pem（macOS/Linux）或curl -sS https://curl.se/ca/cacert.pem -o C:/php/extras/ssl/cacert.pem（Windows） - 在 CLI 模式生效的
php.ini中添加两行（路径必须绝对、一致、用正斜杠或双反斜杠）：curl.cainfo = "/usr/local/etc/php/cacert.pem"openssl.cafile = "/usr/local/etc/php/cacert.pem" - 改完必须关闭当前终端、新开一个；Apache/Nginx/PHP-FPM 需重启服务，不能只 reload
验证镜像配置是否真正生效
很多人以为配了镜像就万事大吉，结果日志里还是出现 Downloading https://packagist.org/ ——说明配置根本没起作用。
- 全局配置查法：
composer config -g repos.packagist（注意是复数repos，不是repo；Composer ≥ 2.2 后旧键名静默忽略） - 输出必须是完整 JSON：
{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}；空值或报错 = 没配成功 - 项目级
composer.json若含"repositories"字段（哪怕只是[]），会完全屏蔽全局镜像，此时要查composer config repo.packagist - 旧镜像域名如
https://packagist.phpcomposer.com已停服，必须删除，否则请求直接卡死或返回伪造内容
最常被忽略的是：改完 php.ini 不关终端、不重启服务，PHP 进程还拿着旧上下文；还有人把 curl.cainfo 和 openssl.cafile 指向不同文件，或路径里用了单反斜杠（Windows 下被当转义符）。这些细节一错，前面所有操作都白忙。
