如何修复Composer安全连接验证失败-composer-PHP中文网

根本原因是php底层openssl/curl无法验证https证书链；需用php -r "print_r(openssl_get_cert_locations());"查清default_cert_file和ini_cafile路径，下载官方cacert.pem，同时配置php.ini中openssl.cafile与curl.cainfo为相同绝对路径，并确保修改的是cli加载的php.ini，重启终端后验证。

如何修复composer安全连接验证失败

Composer 安全连接验证失败，**根本不是 Composer 自己的问题，而是 PHP 底层的 OpenSSL 或 cURL 扩展无法验证远程 HTTPS 证书链**。直接改 composer.json 或加 --no-secure-http 大概率无效，甚至掩盖真实病灶。

查清 PHP 实际加载的证书路径

别猜路径，让 PHP 自己说它在用什么证书文件：

php -r "print_r(openssl_get_cert_locations());"

重点关注两个字段：

default_cert_file：PHP 默认尝试读的路径，如果为空、指向不存在的文件、或文件大小为 0，就是根因
ini_cafile：来自 php.ini 的显式配置，如果和 default_cert_file 不一致，说明你改的 php.ini 没被 CLI 加载，或者路径写错了

常见失效路径包括：/etc/ssl/certs/ca-certificates.crt（旧版 Ubuntu）、C:/php/extras/ssl/cacert.pem（XAMPP 自带的老包）、/usr/local/etc/php/cacert.pem（Homebrew PHP 未更新）

openssl.cafile 和 curl.cainfo 必须同时设、路径完全一致

Composer 同时依赖 OpenSSL 层（如 file_get_contents）和 cURL 层（默认 HTTP 客户端），两者各自读一个配置项：

openssl.cafile 控制 OpenSSL 层
curl.cainfo 控制 cURL 层

只配一个？大概率仍有报错。路径写错（比如漏 .pem、用相对路径、Windows 下单反斜杠当转义符）？照样失败。

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

正确做法：

从 https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251 下载最新 cacert.pem（必须是官方源）
存到稳定绝对路径，例如：/usr/local/etc/php/cacert.pem 或 C:/php/extras/ssl/cacert.pem
在 php.ini 中写两行，路径完全一致、用正斜杠或双反斜杠、加英文双引号：

openssl.cafile="/usr/local/etc/php/cacert.pem"
curl.cainfo="/usr/local/etc/php/cacert.pem"

确认 CLI 环境加载的是你改的 php.ini

Composer 走的是 PHP CLI SAPI，和 Web 服务器用的 php.ini 往往不是同一个文件：

运行 php --ini 查看实际加载路径，确保你编辑的是 CLI 对应的那个
改完后重启终端（Windows CMD/PowerShell、macOS Terminal、Linux shell），否则环境不会重读配置
验证是否生效：php -r "$ch = curl_init('https://packagist.org'); curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); var_dump(curl_exec($ch));" —— 返回非 false 才算通

Windows 用户尤其注意：杀毒软件可能拦截 cacert.pem 读取，或路径含中文/空格导致权限失败；换到 C:/Users/YourName/cacert.pem 更稳妥。

系统时间偏差也会触发 SSL 验证失败

SSL 证书有明确有效期，系统时间偏差超 60 秒就会被拒绝，且错误信息常和证书问题高度相似（如 certificate verify failed）：

执行 date 和 curl -I https://packagist.org 2>/dev/null | grep Date，比对本地时间和响应头中的 Date
WSL2 常见漂移：运行 sudo hwclock --hctosys 临时同步；永久解法是在 /etc/wsl.conf 加 [boot] systemd=true 并确保 Windows「Windows Time」服务启用
Linux 服务器优先启用 systemd-timesyncd：sudo timedatectl set-ntp true，禁用冲突的 chronyd

最隐蔽的坑是：你以为修好了证书，其实只是系统时间碰巧准了——下次休眠唤醒或 CI 流水线启动快了，又复现。