PHP OpenSSL版本过低导致TLS握手失败，需升级OpenSSL及CA包、启用openssl扩展、解决ABI兼容性问题，并在企业代理场景下添加私有根证书。
PHP 的 OpenSSL 版本太低，curl 握手直接失败
典型错误是 cURL error 35: SSL connect error 或更具体的 SSL routines:ssl3_get_record:wrong version number。这不是证书问题，而是 PHP 底层的 OpenSSL 根本不支持服务端要求的 TLS 1.2+（甚至 TLS 1.3），握手在第一帧就断了。常见于 CentOS 6/7 自带旧版 OpenSSL 1.0.1e、Alpine 3.14 的 OpenSSL 1.1.1l，或 Windows 上 XAMPP 捆绑的极老 PHP。
关键判断：运行 openssl version -a 和 php -r "print_r(openssl_get_cert_locations());"，如果前者显示 OpenSSL 1.0.2 或更低，且后者中 default_cert_file 路径存在但文件本身是 2018 年前的，基本可锁定为双老化——协议栈 + CA 包都过时。
- Linux（Debian/Ubuntu）：先更新系统级 OpenSSL 和 CA 包：
sudo apt update && sudo apt install --reinstall openssl ca-certificates - Alpine Docker 镜像：改用
php:8.3-cli-alpine3.20等新版基础镜像，或手动升级：apk add --no-cache openssl1.1-compat（注意兼容性） - macOS（Homebrew）：确保 PHP 和 OpenSSL 同源：
brew uninstall php && brew install openssl@3 && brew install php，避免混用系统 OpenSSL - Windows：XAMPP/WAMP 用户建议换用 官方 PHP Windows 二进制包，它默认链接较新 OpenSSL；不要依赖集成环境自带的 PHP
composer diagnose 显示 “SSL/TLS is enabled but the extension is missing”
这说明 PHP 编译时没启用 OpenSSL 扩展，或者虽启用了但没正确加载。不是 Composer 配置问题，是 PHP 运行时缺失能力。
验证方式：php -m | grep openssl 返回空，即未加载；php -i | grep -i "openssl" 若无任何输出，确认扩展未启用。
- Linux/macOS CLI：检查
php.ini中是否启用extension=openssl（非注释状态），路径是否正确（如extension=/usr/lib/php/20220829/openssl.so） - Windows：确认
php.ini中extension=php_openssl.dll已取消注释，且php_openssl.dll文件真实存在于ext/目录下 - Docker：Alpine 镜像需显式安装扩展：
docker-php-ext-install openssl（配合apk add openssl-dev） - 重启 Web 服务或 CLI 环境后，再跑
php -m | grep openssl确认输出正常
升级 OpenSSL 后 PHP 报 symbol lookup error: undefined symbol: SSL_CTX_set_max_proto_version
这是典型的 ABI 不兼容：PHP 是用旧版 OpenSSL 编译的，但系统升级到了 OpenSSL 3.x，函数签名已变。PHP 进程启动时动态链接失败，直接崩溃。
根本原因不是 Composer，而是 PHP 二进制与系统库不匹配。绕过无效，必须重建 PHP 或换用匹配版本。
- Linux 发行版用户：优先用系统包管理器安装 PHP（如
apt install php-cli），它会自动绑定系统 OpenSSL - macOS Homebrew 用户：执行
brew reinstall php，确保重编译时链接当前openssl@3 - 源码编译 PHP：configure 时明确指定
--with-openssl=/usr/local/opt/openssl@3（macOS）或--with-openssl=/usr（Linux） - Docker Alpine：避免混合使用
apk add php82和apk add openssl3，改用完整 PHP 镜像或统一用php:8.3-cli
企业代理强制 HTTPS 解密，导致证书链校验失败
Zscaler、Netskope、Blue Coat 等中间设备会用自己的根证书重签目标站点证书。PHP 默认只信任系统 CA，不信任你公司内网的私有根证书，因此报 unable to get local issuer certificate。
这不是“证书过期”，也不是“协议不支持”，而是信任链里缺了一环——你的公司根证书。
- 先确认是否代理导致：临时关掉代理（
unset http_proxy https_proxy），再跑composer diagnose。若 OK，则锁定为代理问题 - 导出公司根证书（通常由 IT 部门提供 .crt 或 .pem 文件），保存为
/opt/certs/company-root.pem - 合并到系统 CA 包（Linux/macOS）：
cat /opt/certs/company-root.pem | sudo tee -a /etc/ssl/certs/ca-certificates.crt，再执行sudo update-ca-certificates - Windows：将公司根证书导入“受信任的根证书颁发机构”，然后在
php.ini中设curl.cainfo = "C:/path/to/merged-cacert.pem"（需手动合并系统 CA + 公司根） - 切勿用
COMPOSER_DISABLE_TLS=1—— 它让所有流量裸奔，代理仍能解密，但你完全失去校验能力
真正难处理的从来不是证书文件本身，而是 PHP 加载它的路径是否被多个配置项覆盖、是否被容器或虚拟环境隔离、以及 OpenSSL ABI 兼容性这种底层耦合问题。修完记得用 php -r "print_r(openssl_get_cert_locations());" 和 composer diagnose 双重验证，别只看命令跑通了就以为好了。
