Composer 报 SSL 错误的根源是系统 CA 证书缺失、PHP OpenSSL 配置错误、镜像 URL 拼写不规范（如缺末尾 /）或企业网 HTTPS 劫持，而非 secure-http 配置；需检查 openssl_get_cert_locations、正确设置 cafile、确保镜像 URL 以 / 结尾并清除缓存。
Composer 报 “SSL certificate error” 或 “secure-http false” 相关错误，不是 Composer 自己配错了，而是底层 HTTPS 连接链路中某处证书验证失败——它不怪 composer.json，只怪系统 CA、PHP OpenSSL、镜像源协议或中间设备。
为什么 secure-http 设成 false 还报 SSL 错？
因为 secure-http 只控制是否允许用 HTTP 协议访问仓库（比如把 https://mirrors.aliyun.com/composer/ 改成 http://...），它完全不干预 TLS 握手和证书校验。真正抛出 certificate verify failed 的是 PHP 的 file_get_contents() 或 cURL 扩展，源头在 OpenSSL。
-
curl -I https://packagist.org同样失败 → 说明是系统或 PHP 层级的证书问题，不是 Composer 配置能改的 - 错误信息里带
tls_process_server_certificate→ 明确指向 OpenSSL 无法验证服务端证书链 - 换镜像源后仍报错 → 镜像本身用的是 HTTPS，证书路径或 CA 库没跟上
CA 证书缺失或路径错是 macOS / Linux 最常见原因
macOS 更新后常删掉旧证书，Linux（尤其 CentOS 7）自带的 ca-certificates 包太老，PHP 就找不到可信根证书。
- 查 PHP 当前信任的证书路径：
php -r "print_r(openssl_get_cert_locations());"，重点看default_cert_file - Homebrew 安装的 PHP 常用：
/opt/homebrew/etc/openssl@3/cert.pem；系统 PHP 可能是/etc/ssl/cert.pem - 手动指定证书路径（推荐）：
composer config --global cafile /opt/homebrew/etc/openssl@3/cert.pem - 别只改
php.ini里的openssl.cafile—— Composer CLI 不一定读那个文件，cafile配置项更直接有效
镜像源 URL 不带末尾 / 会触发静默 SSL 失败
配置镜像时少一个斜杠，Composer 会拼出非法路径（如 https://mirrors.aliyun.com/composerpackages.json），然后尝试用 HTTPS 访问这个不存在的地址，最终因 404 + 证书域名不匹配而报 SSL 错。
- 正确写法（必须带结尾
/）：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 错误写法：
https://mirrors.aliyun.com/composer（缺/）或https://mirrors.aliyun.com/composer//（多斜杠） - 验证是否生效：
composer config -g repo.packagist输出必须是完整 JSON 对象，且url字段值以/结尾 - 换源后务必执行：
composer clear-cache，否则旧缓存仍走失败路径
企业网/杀毒软件劫持 HTTPS 流量是 Windows 下高频黑盒原因
某些防火墙、上网行为管理设备或国产杀毒软件（如 360、腾讯电脑管家）会主动替换 HTTPS 证书，导致 PHP 认为证书链不可信。
- 现象：浏览器能打开
https://packagist.org，但curl -I和composer都报错 - 临时验证：用手机热点重试，如果 OK → 基本锁定是本地网络中间设备问题
- 绕过方式（仅调试）：
export COMPOSER_NO_SSL=1（Linux/macOS）或set COMPOSER_NO_SSL=1（Windows CMD） - 注意：
--no-secure-http对这类劫持无效，它不关证书校验，只关协议强制
真正卡住的地方往往不在 Composer 配置本身，而在 cafile 路径是否真实可读、镜像 URL 是否拼对、以及你当前网络是否在偷偷换证书——这三处漏检一个，调 secure-http 就是白忙。
