Composer报SSL证书错误本质是PHP缺失或未正确配置可信CA证书路径，需通过更新ca-certificates、设置curl.cainfo/openssl.cafile或composer config -g cafile修复，禁用TLS验证已弃用且极危险。
不能也不该在 HTTPS 下忽略 Composer 的 SSL 警告——这不是配置问题，而是安全红线。出现 SSL certificate problem 或 cURL error 60 等提示时，本质是系统或 PHP 缺失可信 CA 证书，或证书路径配置错误，不是“临时绕过”的合理场景。
为什么 composer install 报 SSL certificate problem
常见现象：执行 composer install 或 composer update 时卡在 https://repo.packagist.org，报错含 SSL: unable to get local issuer certificate 或类似 cURL 错误。
根本原因不是网络拦截，而是 PHP 的 openssl.cafile 或 curl.cainfo 未指向有效的 CA 证书 bundle（如 Mozilla CA 列表），导致无法验证 Packagist 等 HTTPS 源的服务器证书链。
- Windows 用户常见于 PHP 安装包未自带或未正确配置
php.ini中的curl.cainfo - macOS 使用 Homebrew 安装的 PHP 可能依赖系统钥匙串，但 Composer 默认不读取它
- Linux 容器环境（如 Alpine）常缺失
ca-certificates包
如何正确修复 CA 证书配置（非忽略）
目标是让 Composer 能正常校验证书，而不是关掉校验。以下操作按优先级排列：
- 确认 PHP 已加载 OpenSSL 扩展：
php -m | grep openssl，无输出需启用扩展 - 下载最新 CA bundle（推荐官方 Mozilla 源）：
curl -sS https://curl.se/ca/cacert.pem -o /usr/local/etc/php/certs/cacert.pem（路径可自选） - 在
php.ini中设置：curl.cainfo = "/usr/local/etc/php/certs/cacert.pem"和openssl.cafile = "/usr/local/etc/php/certs/cacert.pem" - 重启 PHP CLI 或 Web 服务（如适用），再运行
php -r "print_r(openssl_get_cert_locations());"验证路径是否生效 - 若用 Composer 全局配置强制指定（仅当 php.ini 不便改时）：
composer config -g cafile /usr/local/etc/php/certs/cacert.pem
绝对不要用 secure-http = false 或 --no-secure-http
这两个配置项早在 Composer 2.0+ 中已被移除。试图在 composer.json 里写 "secure-http": false 会直接触发警告：Invalid composer.json: secure-http is not supported anymore。更早版本中启用它，等于让 Composer 降级走 HTTP 请求第三方仓库，这会暴露包元数据、被中间人篡改依赖列表，风险极高。
某些文档提到的 export COMPOSER_DISABLE_TLS=1 同样危险且已弃用——它不仅禁用 TLS，还强制所有源退化为 HTTP，Packagist 官方早在 2021 年起就完全关闭了 HTTP 访问，此举只会导致 403 Forbidden 或连接失败。
容器或 CI 环境下的典型修复路径
Docker 构建中常见于 Alpine 或 slim 镜像：
- Alpine：安装
ca-certificates并确保 PHP 使用它：apk add --no-cache ca-certificates && update-ca-certificates - Debian/Ubuntu：运行
apt-get update && apt-get install -y ca-certificates - PHP Docker 镜像（如
php:8.3-cli-slim）：额外加一句docker-php-ext-install opcache不够，必须显式安装证书并配置curl.cainfo - GitHub Actions：使用
shivammathur/setup-php动作默认已处理，但自定义镜像需手动补全
真正难排查的是证书路径在不同 PHP SAPI（CLI vs FPM）下不一致，或 Composer 使用了独立的 PHP 二进制（如通过 phpenv 或 asdf 管理），此时 composer config -g cafile 是最稳妥的覆盖方式。
