ThinkPHP HTTPS请求失败主因是未正确配置cURL SSL验证选项：需显式设置CURLOPT_SSL_VERIFYPEER=true、CURLOPT_SSL_VERIFYHOST=2及绝对路径的CURLOPT_CAINFO，禁用验证仅限本地调试。
curl_setopt 未启用 CURLOPT_SSL_VERIFYPEER 导致 HTTPS 请求直接拒绝
ThinkPHP 底层用 curl 发请求时，默认不校验证书，但现代 PHP（7.4+）+ OpenSSL 1.1.1+ 环境下，CURLOPT_SSL_VERIFYPEER 实际默认为 true，而多数本地开发环境没配 CA 证书路径，结果就是 SSL certificate problem: unable to get local issuer certificate 这类错误直接中断请求。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 不要简单设
CURLOPT_SSL_VERIFYPEER为false—— 这等于关掉 TLS 验证，生产环境绝对禁止 - 优先用系统级 CA 证书：Linux/macOS 一般在
/etc/ssl/certs/ca-certificates.crt或/usr/share/curl/ca-bundle.crt；Windows 下需手动指定路径 - ThinkPHP 5.1+ 的
think\facade\Http支持全局配置，可在config/http.php加：'options' => [ CURLOPT_CAINFO => '/etc/ssl/certs/ca-certificates.crt', ] - 若用原生
curl_init()，务必在curl_setopt()中显式设置CURLOPT_CAINFO，且路径必须是绝对路径（相对路径在 CLI 模式下极易失效）
PHP cURL 扩展未启用或 OpenSSL 版本太低
报错如 cURL error 60、Unknown SSL protocol error 或干脆无响应，大概率不是代码问题，而是环境没准备好。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 运行
php -m | grep curl和php -r "print_r(curl_version());"，确认curl扩展已加载，且ssl_version显示为OpenSSL（非Schannel或None） - 检查 OpenSSL 版本：
php -r "echo OPENSSL_VERSION_TEXT;"，低于OpenSSL 1.0.2的旧版本对 Let’s Encrypt 新根证书支持差，容易握手失败 - Docker 环境常见坑：Alpine 镜像默认用
musl+libressl，不兼容部分 HTTPS 接口，建议切到debian:slim基础镜像并装ca-certificates - Windows 下 XAMPP/WampServer 用户，要确认
php.ini中extension=php_curl.dll已取消注释，且curl.cainfo指向有效证书文件（如curl-ca-bundle.crt）
ThinkPHP Http 类未透传 CURLOPT_SSL_VERIFYHOST 导致域名验证失败
即使证书路径正确，仍可能遇到 SSL: certificate subject name '*.api.example.com' does not match target host name 'api.example.com' —— 这是 CURLOPT_SSL_VERIFYHOST 校验失败，而 ThinkPHP 默认未显式设置该选项，依赖 cURL 自身行为（新版 cURL 已默认严格校验）。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 必须显式设置
CURLOPT_SSL_VERIFYHOST为2（推荐），而非1（已废弃）或0（禁用） - 在
config/http.php中补全：'options' => [ CURLOPT_SSL_VERIFYPEER => true, CURLOPT_SSL_VERIFYHOST => 2, CURLOPT_CAINFO => '/path/to/cacert.pem', ] - 注意：ThinkPHP 6.0+ 的
think\facade\Http对CURLOPT_SSL_VERIFYHOST支持稳定；5.1.x 某些小版本存在透传 bug，可临时改用原生curl调用绕过 - 调试时可用
curl_getinfo($ch, CURLINFO_SSL_VERIFYRESULT)查返回值，0表示验证通过，非零即失败（对应 OpenSSL 错误码）
自签名证书或内网 HTTPS 接口的临时适配方案
对接测试环境、IoT 设备或私有 CA 签发的接口时，系统 CA 里没有对应根证书，硬塞证书路径又不方便，得找折中办法。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 开发/测试环境允许时，用
CURLOPT_SSL_VERIFYPEER => false+CURLOPT_SSL_VERIFYHOST => 0快速验证业务逻辑，但必须加注释标明“仅限本地调试”，CI/CD 流水线应拒绝含此配置的提交 - 更稳妥的做法：把内网 CA 证书合并进系统证书包（Linux 下
cat my-ca.crt >> /etc/ssl/certs/ca-certificates.crt && update-ca-certificates） - ThinkPHP 请求中可通过闭包方式动态覆盖选项，避免污染全局配置：
Http::withOptions(['curl' => [CURLOPT_SSL_VERIFYPEER => false]])->post(...)
- 千万别在生产代码里留
verify_peer = false，哪怕注释写“临时”，上线扫描工具会直接标红
