Composer报“不支持的 OpenSSL 版本”本质是PHP编译时绑定的OpenSSL库过旧（如1.0.2）或与系统不匹配，导致不支持TLS 1.2+；需检查openssl_get_cert_locations、PHP编译参数及CA路径，必要时重编译PHP或同步升级OpenSSL与PHP扩展。
Composer 报 “不支持的 OpenSSL 版本” 通常不是 Composer 自身问题，而是 PHP 编译时绑定的 OpenSSL 库太旧（
为什么 Composer 会突然报 OpenSSL 错误
Composer 本身不处理 TLS 握手，完全依赖 PHP 的 ext-curl 或 ext-openssl。从 2024 年起，Packagist.org、GitHub API、GitLab 等主流服务已强制要求 TLS 1.2+ 和 OpenSSL 1.1.1+（部分甚至要求 3.0+）。如果你的 PHP 是用旧版 OpenSSL 编译的（比如 Ubuntu 18.04 默认的 1.1.0g 或 CentOS 7 的 1.0.2k），即使 php -v 显示正常，composer install 也会在连接阶段卡住或报错：
cURL error 35: OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to packagist.org:443file could not be downloaded: SSL operation failed with code 1Peer certificate cannot be authenticated with given CA certificates
这类错误和 Composer 版本无关，composer self-update 或重装 Composer 完全无效。
如何确认是 OpenSSL 库版本问题
别只看系统 openssl 命令版本 —— PHP 可能链接的是另一套。运行以下命令交叉验证：
-
php -r "print_r(openssl_get_version());"→ 输出应为0x1010100fL（即 1.1.1）或更高；低于0x1010000fL（1.1.0）基本确定不兼容 -
php -i | grep -i "openssl library"→ 查看实际加载的库路径，比如/usr/lib/x86_64-linux-gnu/libssl.so.1.1 -
php -m | grep curl+php -r "var_dump(curl_version(CURLVERSION_NOW)['ssl_version']);"→ 确认 cURL 绑定的 OpenSSL 版本是否一致
如果三者版本不统一，说明 PHP 扩展混用了不同 OpenSSL 构建的二进制，必须重建扩展或换 PHP。
PHP 升级或重编译 OpenSSL 的实操路径
修复必须落在 PHP 层，没有“Composer 配置开关”能绕过：
- Ubuntu/Debian 用户：升级系统 OpenSSL 后，必须重新编译或重装 php-curl 和 php-openssl 扩展（仅
apt upgrade openssl不够）；推荐直接换用ondrej/phpPPA 提供的预编译包，它默认绑定 OpenSSL 3.x - CentOS/RHEL 7 用户：原生源无法升级到 OpenSSL 1.1.1+，必须启用
epel+remi源，或升级到 RHEL 8+；切勿手动替换 /lib64/libssl.so —— 会导致系统工具崩溃 - Docker 用户：改基础镜像，例如从
php:8.1-apache换成php:8.2-apache-bookworm（Debian 12 自带 OpenSSL 3.0）；检查 Dockerfile 中是否硬编码了旧版 alpine（如alpine:3.16的 OpenSSL 是 1.1.1t，勉强可用但已 EOL） - Mac（Homebrew）用户：运行
brew upgrade openssl@3 php，再执行brew link --force openssl@3，最后pecl uninstall xdebug && pecl install xdebug（重装所有 PECL 扩展）
验证修复后，运行 composer diag 应显示 HTTPS is available，且 composer install 能正常拉取包。
临时绕过（仅限调试，禁止上生产）
某些 CI 环境或老旧服务器短期无法升级 PHP，可临时禁用 HTTPS 强制策略（极不推荐）：
- 设环境变量：
export COMPOSER_NO_SSL=1（仅对 HTTP 源有效，Packagist 已不支持 HTTP） - 降级 Packagist 源为 HTTP 镜像（如已废弃的阿里云 HTTP 源）→ 2026 年起全部主流镜像已关闭 HTTP 入口，此法失效
- 用
--ignore-platform-reqs参数掩盖错误 → 实际仍连不上，只是把报错延后到 autoload 阶段
真正可靠的解法只有一个：让 PHP 的 OpenSSL 库版本 ≥ 1.1.1，且与 cURL 扩展一致。任何试图在 Composer 层“打补丁”的操作，都会在下次依赖更新或平台升级时暴露出来。
