PHP中SSL/TLS握手失败大概率是OpenSSL版本过旧或协议协商不匹配，而非代码错误；需检查phpinfo()中OpenSSL Library Version是否≥1.1.1、强制指定CURLOPT_SSLVERSION、配置正确CA证书路径，升级时须重编译PHP而非仅更新系统OpenSSL。
PHP中SSL/TLS握手失败，大概率不是代码写错了，而是底层OpenSSL版本太老或协议协商不匹配。 你用curl_exec()或file_get_contents()访问HTTPS接口报错，比如SSL operation failed with code 1、tlsv1 alert unknown ca、handshake failure，这些都不是PHP语法问题，而是OpenSSL运行时无法完成密钥交换或证书验证。
检查当前PHP使用的OpenSSL版本和TLS支持能力
很多开发者直接改PHP代码，却没意识到phpinfo()里显示的OpenSSL版本可能早已不支持TLS 1.2+，或缺少必要加密套件。必须先确认底层能力：
- 运行
php -i | grep -i openssl，查看OpenSSL Library Version（如OpenSSL 1.0.2u）和OpenSSL Header Version - 低于
OpenSSL 1.1.1的版本默认不支持TLS 1.3；1.0.2虽支持TLS 1.2，但部分补丁缺失会导致与现代服务器握手失败 - 用
php -r "print_r(openssl_get_cipher_methods());"检查是否包含tls1_3相关方法（有则大概率支持TLS 1.3） - 注意：
OpenSSL Library Version和Header Version不一致，说明PHP编译时链接的是旧库，运行时行为以Library为准
升级OpenSSL并重新编译PHP（Linux常见路径）
仅靠apt upgrade openssl或yum update openssl通常无效——PHP是静态链接或在编译时绑定OpenSSL路径的。必须重装PHP或重编译：
- Ubuntu/Debian系：先安装新版OpenSSL开发包，例如
sudo apt install libssl-dev（确保是libssl1.1或libssl3），再用ppa:ondrej/php源安装PHP，它默认链接较新OpenSSL - CentOS/RHEL 7+：启用
epel和remi仓库，用dnf module install php:remi-8.2（自动依赖新版OpenSSL） - 源码编译PHP时，务必加
--with-openssl=/usr/local/ssl（指向你已安装的OpenSSL 1.1.1+路径），否则仍会 fallback 到系统旧版 - 升级后验证：
php -v应显示with OpenSSL 1.1.1w或更高；php -r "var_dump(defined('OPENSSL_VERSION_TEXT'));"为true，且OPENSSL_VERSION_TEXT内容含1.1.1或3.0.
强制指定TLS版本避免协商失败（临时绕过兼容性问题）
即使OpenSSL版本够新，某些老旧服务端或中间设备（如WAF、代理）对TLS 1.3实现有缺陷，导致握手被重置。此时可在PHP cURL中显式降级：
立即学习“PHP免费学习笔记（深入）”；
- 对
curl_setopt()添加：curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2); - 不要用
CURL_SSLVERSION_TLSv1或TLSv1_1——它们已不安全，且多数现代服务端已禁用 - 若需兼容极旧服务端（如只支持TLS 1.0），应单独建隔离连接池，而非全局降级
- 注意：
CURLOPT_SSLVERSION在OpenSSL1.0.2下可能不生效，必须配合升级；PHP 8.0+开始支持CURL_SSLVERSION_TLSv1_3常量
证书验证失败时别轻易关校验
看到certificate_unknown或unable to get local issuer certificate就加CURLOPT_SSL_VERIFYPEER, false，这是最危险的惯性操作。真实原因往往是CA根证书缺失或证书链不全：
- Linux服务器默认无Windows/macOS那样完整的CA bundle，需手动配置：下载
curl-ca-bundle.crt（或用update-ca-trust更新系统证书库），再设curl_setopt($ch, CURLOPT_CAINFO, '/etc/pki/tls/certs/ca-bundle.crt'); - 若服务端证书链不完整（缺少Intermediate CA），浏览器可能自动补全，但PHP cURL不会——需让运维在Nginx/Apache中配全
ssl_certificate和ssl_certificate_key，或用cat domain.crt intermediate.crt > fullchain.pem合并后部署 -
mysqli_real_connect()等MySQL SSL连接也受同一CA路径影响，需同步检查openssl.cafileini设置
真正棘手的点往往藏在OpenSSL版本和PHP编译绑定的细节里——比如你升级了系统OpenSSL，但PHP仍链接着旧的.so；或者用了Docker镜像，基础镜像里的OpenSSL是1.1.1，但PHP是用alpine:3.14编译的，而该Alpine版本自带的是1.1.1l，缺关键补丁。这类问题不看php -i输出，只盯代码，永远修不对。
