Composer SSL证书问题根源在PHP未正确配置CA证书，需统一设置php.ini中openssl.cafile和curl.cainfo为同一绝对路径的最新cacert.pem文件，并重启服务验证。
Composer 报 SSL certificate problem，不是 Composer 的锅，是 PHP 没找到或用错了 CA 证书文件。修对 php.ini 里的 openssl.cafile 或 curl.cainfo，重启 CLI 或 Web 服务，90% 问题当场消失。
怎么确认真是证书问题？
别猜，先跑两行命令验证：
- 运行
php -r "print_r(openssl_get_cert_locations());"，重点看default_cert_file指向的路径是否存在、文件是否非空（ls -l或dir看大小） - 再跑
curl -v https://packagist.org/packages.json—— 如果也报SSL certificate problem或unable to get local issuer certificate，说明是系统/PHP 层级问题，和 Composer 无关 - 如果
composer diagnose提示ssl.capath is not configured或cafile is not set，也是同一类信号
改哪个配置才真正起效？
composer config --global cafile 是无效的——它只影响 Composer 自己封装的 HTTP 客户端（php-http），而绝大多数 SSL 失败发生在 cURL 或 OpenSSL 扩展层。
真正起效的是 php.ini 里的这两个配置项（必须同时设，路径要一致）：
openssl.cafile="/path/to/cacert.pem"curl.cainfo="/path/to/cacert.pem"
注意：/path/to/cacert.pem 必须是绝对路径，不能用 ~ 或相对路径；Windows 上路径里用正斜杠 / 或双反斜杠 \ 都可以，但单反斜杠 会出错。
证书文件从哪来？怎么配？
去官方地址下载最新权威证书包：https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251，保存为本地文件，例如：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Linux/macOS：
/usr/local/etc/php/cacert.pem - Windows：
C:phpextrassslcacert.pem
然后编辑你 CLI 模式下实际加载的 php.ini（运行 php --ini 看 Loaded Configuration File 路径），在末尾添加上面两行配置。
改完必须重启：
- CLI：关掉终端重开，否则
php -i | grep cainfo还是旧值 - Web 环境：重启 Apache/Nginx 或
php-fpm，光刷新页面没用
验证是否生效：php -r "var_dump(file_get_contents(ini_get('curl.cainfo')) !== false);" 应输出 bool(true)。
为什么有些方案越修越错？
常见踩坑点：
- 改了 Web SAPI 的
php.ini，但 CLI 下跑composer install用的是另一个php.ini（php --ini不等于phpinfo()） - 路径写对了，但文件权限不对（Linux/macOS 上 PHP 进程读不了该文件）
- 用了系统自带的
/etc/ssl/certs/ca-certificates.crt，结果它是空链接或过期 bundle - 误信
COMPOSER_DISABLE_TLS=1能一劳永逸——它只是绕过验证，下次换环境、CI 构建、甚至升级 PHP 后照样崩，且暴露凭证泄露风险
最常被忽略的一点：证书文件本身可能过期。Mozilla 的 cacert.pem 每月更新，如果你用的是 2024 年下载的旧文件，2026 年大概率已失效——别复用，重新下载。
