根本原因是php底层openssl版本过旧（如≤1.0.2），不支持镜像站强制启用的tls 1.2+协议，导致握手失败；需升级php至7.4+（推荐8.1+）或手动更新openssl，并验证openssl_get_cipher_methods()是否含tls1_2/tls1_3。
报错含 “SSL routines:SSL3_GET_SERVER_CERTIFICATE” 或 “TLS version not supported”
这是 OpenSSL 库拒绝与服务端完成 TLS 握手，根本原因不是证书无效，而是本地 PHP 使用的 OpenSSL 版本太老，不支持镜像源当前强制启用的 TLS 1.2+（甚至 TLS 1.3）协议。阿里云、腾讯云等国内镜像早在 2024 年底已停用 TLS 1.0/1.1，PHP 7.2 以下或未更新 OpenSSL 的旧环境会直接卡死。
验证方式：运行 php -r "print_r(openssl_get_cipher_methods());"，若输出中不含 tls1_2 或 tls1_3，基本可确认协议栈过时。
- 升级 PHP 到 7.4+（推荐 8.1+），它默认链接较新 OpenSSL；Windows 用户注意：PHP 官方 Windows 包自带 OpenSSL DLL，但旧版（如 PHP 7.0 VC14）仍可能绑死 OpenSSL 1.0.2
- Linux 用户检查系统 OpenSSL 版本：
openssl version，低于OpenSSL 1.1.1需升级系统或编译新版 PHP - 容器环境（Docker）务必使用官方
php:8.1-cli或更高 tag，别用自建的老旧 base 镜像 - 临时绕过（仅限调试）：
composer config -g secure-http false+composer config -g cafile /dev/null，但生产环境严禁启用
composer config -g repo.packagist 设置后仍走旧协议
镜像配置本身不控制 TLS 协议版本，它只改 URL；真正决定用什么协议的是 PHP 的 cURL 和 OpenSSL 底层。所以即使你写了 https://mirrors.aliyun.com/composer/，只要底层库不支持 TLS 1.2，请求照样失败——错误日志里不会提“TLS”，只会报 SSL3_GET_SERVER_CERTIFICATE 这种误导性提示。
- 别信
curl -I https://mirrors.aliyun.com/composer/成功就代表 Composer 没问题：cURL 命令行可能用系统新版 cURL，而 PHP CLI 用的是自己编译时绑定的老 OpenSSL - 必须用 PHP 脚本实测：
php -r "print file_get_contents('https://mirrors.aliyun.com/composer/packages.json') ?: 'fail';" - 如果该命令也失败，说明问题在 PHP 环境层，不是 Composer 配置层
Windows 上 PHP 用着旧 OpenSSL 却找不到新 DLL
Windows 用户最容易卡在这一步：你下了新版 PHP zip 包，解压后发现 php_openssl.dll 加载失败，或 php -m 里看不到 openssl，又或者加载了但协议还是不支持——因为 PHP Windows 版本和 OpenSSL DLL 是强绑定的，不能混搭。
- 去 windows.php.net 下载对应 VC 版本（VC15/VC17）且带
Thread Safe标识的完整包，别只换php_openssl.dll - 确认
php.ini中extension_dir指向的是当前 PHP 目录下的ext/，不是旧路径 - 运行
php -i | findstr "openssl"（CMD）或php -i | grep openssl（Git Bash），看OpenSSL Library Version是否 ≥OpenSSL 1.1.1 - 若仍不行，删掉整个 PHP 目录，重装干净包，别试图“升级部分文件”
CI/CD 环境里 TLS 协议不一致的隐性坑
GitHub Actions、GitLab CI 或自建 Jenkins 里，php:8.2 镜像看似新，但基础 OS 可能是 Debian 10（Buster），其系统 OpenSSL 仍为 1.1.1n，而阿里云镜像要求最低 TLS 1.2 + SNI 支持——某些旧 OpenSSL 补丁缺失会导致握手失败，现象就是 composer install 卡住不动或报 SSL 错误。
- CI 脚本开头加检测：
php -r "echo OPENSSL_VERSION_TEXT;"，确保输出含1.1.1或3.0. - Debian/Ubuntu CI 镜像建议显式升级：
apt-get update && apt-get install -y openssl libssl-dev - Docker 构建时避免用
FROM php:8.2-cli就完事，要加RUN apt-get update && apt-get install -y openssl确保运行时 OpenSSL 是最新 - 别依赖
composer self-update：它只更新 Composer PHAR，不碰底层 OpenSSL
composer install 用的是另一套。查清楚到底是谁在发请求，比反复换镜像源重要十倍。
