必须盯死default_cert_file和ini_cafile两项：前者是PHP默认信任证书路径，若为空、不存在或内容为空则HTTPS失败；后者是php.ini中配置的路径，若与前者不一致说明配置未生效，且curl.cainfo与openssl.cafile必须设为同一绝对路径并重启PHP进程。
php -r "print_r(openssl_get_cert_locations());" 输出里哪几项要盯死
这行命令是排障起点，不是走个过场。重点只看两个字段：default_cert_file 和 ini_cafile。
default_cert_file 是 PHP 默认尝试加载的路径，如果为空、指向不存在的文件（比如 C:phpextrassslcurl-ca-bundle.crt 但该文件根本没下载），或文件大小为 0，就直接失败。
ini_cafile 是 php.ini 里显式配置的路径，如果它和 default_cert_file 不一致，说明你改的 php.ini 没被加载，或者改错了文件。
- Windows 常见无效路径：
C:phpextrassslcurl-ca-bundle.crt（XAMPP 自带，常年不更新） - macOS Homebrew PHP 常见空值：
/usr/local/etc/php/8.3/openssl.cafile（目录存在，但文件没放进去） - Linux Alpine 容器常见陷阱：
/etc/ssl/certs/ca-certificates.crt存在，但内容是旧版或符号链接失效
curl.cainfo 和 openssl.cafile 必须同时配、路径必须完全一致
只改其中一个，或者路径写成不同文件（比如一个指 cacert.pem，另一个指 ca-bundle.crt），PHP 仍会 fallback 到无证书状态，报错照旧。
路径必须是绝对路径，且满足以下任一格式：
- Windows：用双反斜杠
"C:\php\extras\ssl\cacert.pem"或正斜杠"C:/php/extras/ssl/cacert.pem"，且必须加双引号 - macOS/Linux：
/usr/local/etc/php/cacert.pem，路径里不能有中文、空格，PHP 进程需有读权限 - 别用系统自带的符号链接（如
/etc/ssl/certs/ca-certificates.crt），PHP 有时读不了；优先用 curl.se 官方源下载的cacert.pem
下载地址固定为：https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251，这是 Mozilla 维护的实时更新根证书包，2026 年仍有效。
改完 php.ini 后，为什么 composer install 还报错
因为 CLI 和 Web 环境可能用的是两套 PHP 配置。先确认你改的是哪个 php.ini：
- 运行
php --ini，看 “Loaded Configuration File” 输出的路径 - 运行
which php（macOS/Linux）或where php（Windows），确认 CLI 调用的 PHP 是否和 Web 服务一致 - 如果用 XAMPP/WAMP/MAMP，CLI 和 Apache 的 php.ini 往往不在同一位置，必须分别检查
改完后：
- CLI 模式：必须关掉当前终端，新开一个，否则
php -i | grep curl.cainfo仍显示旧值 - Web 模式：Apache/Nginx/php-fpm 必须完全重启，reload 不够，配置不会生效
- 验证是否生效：
php -r "var_dump(ini_get('curl.cainfo'));"输出应是你刚写的路径
composer config --global cafile 为什么基本没用
这条命令只影响 Composer 自己封装的 HTTP 客户端（基于 php-http），而实际发起 HTTPS 请求的是 PHP 底层的 cURL 或 OpenSSL 扩展。一旦涉及 Git 克隆、私有仓库拉取、或某些插件调用，还是会走 PHP 原生 TLS 层，跳过这个配置。
典型表现：
- 执行
composer config --global cafile /path/to/cacert.pem后，composer diagnose显示 “CA file configured” - 但
composer install依然报cURL error 60或unable to get local issuer certificate - 甚至
curl -v https://packagist.org/packages.json也失败，说明问题在更底层
真正起效的只有 curl.cainfo 和 openssl.cafile —— 它们控制整个 PHP 运行时的证书信任链，覆盖所有 HTTPS 请求场景。
