PHP本身不处理SSL证书部署，实际是配置其依赖的Web服务器（Apache/Nginx）或客户端行为；PHP 8.3+要求启用openssl扩展、指定curl.cainfo路径、严格校验证书链，并确保私钥权限与路径格式正确。
PHP 8.3+ 的 openssl 扩展必须启用且可信根证书可用
即使 Web 服务器跑通 HTTPS，PHP 脚本发起 file_get_contents('https://') 或 cURL 请求仍会报 cURL error 60 或 SSL certificate problem: unable to get local issuer certificate，根本原因不是 Web 服务器配错了，而是 PHP 进程找不到可信 CA 根证书。
- 检查
php.ini中extension=openssl是否已取消注释（无分号），重启 PHP 服务后运行php -m | grep openssl确认加载成功 - PHP 默认不自带 CA 包；需手动指定路径：在
php.ini中添加curl.cainfo = "C:/phpenv/cert/cacert.pem"（Windows）或curl.cainfo = "/etc/ssl/certs/ca-certificates.crt"（Linux/macOS） - 下载最新
cacert.pem：从 curl.se 获取，保存为绝对路径，确保 PHP 进程有读权限 - 验证方式：新建
test.php，内容为<?php var_dump(openssl_get_cert_locations()); ?>，查看cafile值是否指向你设置的路径
Apache + PHP 8.4 配置 HTTPS 时证书路径必须用正斜杠且为相对路径（从 conf 目录起算）
phpEnv、XAMPP 或手动部署 Apache 时，httpd-ssl.conf 中的 SSLCertificateFile 和 SSLCertificateKeyFile 不接受 Windows 风格单反斜杠 \，也不支持以 ./ 开头的“当前目录”写法——Apache 启动时工作目录不可控，会导致 SSL Library Error: key values mismatch 或直接启动失败。
- 错误写法：
SSLCertificateFile "C:\phpenv\apache\conf\ssl\localhost.pem"（路径含单反斜杠，被解析为转义符） - 错误写法：
SSLCertificateFile "./ssl/localhost.pem"（相对路径起点不确定） - 正确写法：
SSLCertificateFile "conf/ssl/localhost.pem"（从conf目录开始的相对路径，推荐）或SSLCertificateFile "/c/phpenv/apache/conf/ssl/localhost.pem"（绝对路径，用正斜杠） - 私钥文件权限：Linux/macOS 下执行
chmod 600 conf/ssl/localhost-key.pem，否则 Apache 拒绝加载
Nginx + PHP-FPM 场景下 ssl_certificate 必须用绝对路径且注意用户权限
当使用 Nginx 反向代理 PHP-FPM（常见于宝塔、Laravel Valet 或自建环境），Nginx 主进程以 root 运行，但 worker 进程通常以 www-data（Debian/Ubuntu）或 nginx（CentOS）用户运行。若证书路径为相对路径或权限宽松，worker 会因无法读取私钥而报错 SSL_CTX_use_PrivateKey_file("/path/to/key") failed (SSL: error:0200100D:system library:fopen:Permission denied)。
- 证书路径必须写成绝对路径，例如：
ssl_certificate /www/server/panel/vhost/cert/example.com/fullchain.pem; - 私钥文件不能被 group 或 other 读取：
ls -l /www/server/panel/vhost/cert/example.com/privkey.pem应显示-rw------- - 确认 Nginx 用户能访问整个路径：执行
sudo -u www-data ls /www/server/panel/vhost/cert/example.com/，应能列出文件 - PHP-FPM 本身不关心证书，但需确保
$_SERVER['HTTPS']正确：Nginx 需添加fastcgi_param HTTPS on;到 fastcgi_params 中
ThinkPHP/Laravel 等框架中调用 HTTPS 接口时 verify 参数不能省略
PHP 8.3+ 默认启用更严格的证书校验，框架封装的 HTTP 客户端（如 ThinkPHP 的 Http::get()、Laravel 的 Http::get()）底层仍是 cURL。若未显式传入 CA 路径，即使系统级 curl.cainfo 已设，某些框架版本仍会忽略它，导致本地开发请求第三方 HTTPS 接口失败。
立即学习“PHP免费学习笔记（深入）”；
- ThinkPHP：在
config/http.php中设置'default' => ['verify' => '/etc/ssl/certs/ca-certificates.crt']，而非依赖全局配置 - Laravel：在
config/services.php或请求时传参：Http::withOptions(['verify' => base_path('certs/cacert.pem')])->get(...) - 禁用校验仅限调试：
'verify' => false，但上线前必须移除——PHP 8.4 已警告此用法不安全 - MySQL SSL 连接同理：ThinkPHP 的
database.php中params数组必须用PDO::MYSQL_ATTR_SSL_CA等常量，不能写字符串键名
