composer diagnose 会真实发起 https 请求测试 tls 握手、证书有效性及系统信任状态，而非仅检测连通性；若使用自签名 ca 或中间人代理，常报“ssl certificate problem”，应通过 cafile 指定企业证书而非禁用 tls。
composer diagnose 会真实发起 HTTPS 请求测 TLS 握手
它不是只 ping 通就算数，而是真用 cURL 向 https://packagist.org/packages.json 发起一次完整 HTTPS 请求，校验 TLS 握手是否成功、证书是否有效、是否被系统信任链认可。如果你公司用了自签名 CA 或中间人代理（比如 Fiddler、Charles、企业防火墙），这里大概率直接报错。
常见错误现象包括：
curl: (60) SSL certificate problem: unable to get local issuer certificate-
SSL_ERROR_SYSCALL或CN mismatch提示 - 输出里出现
WARNING: The "https://packagist.org/packages.json" file could not be downloaded，但ping packagist.org是通的
注意：composer diagnose 默认只测 Packagist 官方源，不会自动检查你 composer.json 里配的私有仓库（如 Artifactory、Nexus）。那些得单独验证。
验证私有仓库 HTTPS 连接要手动 curl -Iv
别等 composer install 报错才排查。对私有源地址，直接用 curl -Iv 模拟 Composer 的请求行为：
curl -Iv https://your-artifactory-domain/artifactory/api/composer/packagist.org/packages.json
重点看三处：
- TLS 握手阶段有没有
* ALPN, offering http/1.1和* Server certificate信息 - 状态码是不是
200（不是 401/403/502） - 证书 Subject 是否匹配域名，有没有
SSL certificate verify ok
如果返回 SSL certificate CN does not match，说明证书是为 artifactory.internal 签的，但你访问的是 artifactory.example.com——得让运维重签或加 SAN。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
cafile 配置比禁用 TLS 安全得多
遇到证书错误，第一反应不该是关安全开关。临时设 COMPOSER_DISABLE_TLS=1 或改 config.json 里 "secure-http": false，等于把所有包下载都降级到 HTTP，风险极高。
正确做法是告诉 Composer 用哪个 CA 证书文件：
- 把企业根证书（
company-ca.crt）放到可信路径，比如/etc/ssl/certs/（Linux）或 Keychain（macOS） - 或显式指定：
composer config --global cafile /path/to/company-ca.crt
这个配置写进 ~/.composer/config.json 的 "cafile" 字段，优先级高于系统默认信任链，且只影响 Composer 自身的 HTTPS 请求。
github-oauth 失败时 SSL 问题常被掩盖
当你配了 "github-oauth": {"github.com": "xxx"} 却仍报 Could not fetch，别急着换 token。HTTPS 层可能已在认证前就断了——比如本地网络拦截了 GitHub 的 OCSP Stapling 请求，或 SNI 扩展没发过去。
验证方法：
- 先去掉
github-oauth段，跑composer diagnose看 HTTPS 是否能通 - 再用
curl -v -H "User-Agent: Composer/2.x" https://api.github.com/rate_limit测试原始连接 - 如果
curl也卡在* Initializing NSS with certpath: sql:/etc/pki/nssdb，说明是底层 SSL 库（NSS、OpenSSL）或系统证书问题，不是 Composer 配置的事
真正难调的点往往不在 Composer 配置本身，而在它背后那一层 TLS 握手——没看到证书链加载失败的日志，不代表它没发生。
