直接改php.ini中curl.cainfo和openssl.cafile为同一绝对路径的最新cacert.pem文件并重启环境即可解决；需用php -r "print_r(openssl_get_cert_locations());"和curl -v验证路径有效性，二者必须同时配置且指向同一证书文件。
直接改 php.ini 里的 curl.cainfo 和 openssl.cafile 就能解决，不是 Composer 配置问题，而是 PHP 底层 SSL 验证找不到可信根证书。
怎么确认是证书路径没配对，而不是网络或代理问题
先跑这行命令：
php -r "print_r(openssl_get_cert_locations());"
重点看输出里的 default_cert_file 和 ini_cafile —— 如果值为空、路径不存在、文件大小为 0 或内容里没有 -----BEGIN CERTIFICATE----- 块，就是证书路径失效。再补测一句：
curl -v https://packagist.org/packages.json
如果也报 SSL certificate problem，说明是 cURL/PHP 层级的问题，和 Composer 本身无关。
必须同时配 curl.cainfo 和 openssl.cafile
PHP 内部 HTTPS 请求分两路：一部分走 cURL 扩展，一部分走 OpenSSL 扩展（比如某些 stream context 场景）。只设一个，另一路仍会 fallback 到空信任链。
-
curl.cainfo控制 cURL 的证书验证行为 -
openssl.cafile控制 OpenSSL 扩展的证书验证行为 - 两个值必须是**同一份文件**的**绝对路径**，且用英文双引号包裹（Windows 路径中可用正斜杠或双反斜杠）
- 例如 macOS/Linux：
curl.cainfo = "/usr/local/etc/php/cacert.pem"<br>openssl.cafile = "/usr/local/etc/php/cacert.pem"
- 例如 Windows：
curl.cainfo = "C:/php/extras/ssl/cacert.pem"<br>openssl.cafile = "C:/php/extras/ssl/cacert.pem"
证书文件从哪来，怎么放才靠谱
别用系统自带的符号链接或旧 bundle（比如 /etc/ssl/certs/ca-certificates.crt 在某些 Alpine 或旧发行版里只是空链接）。优先用 Mozilla 官方维护的权威 CA 包：
- 下载地址：
https://curl.se/ca/cacert.pem - 保存为纯文本
.pem文件（后缀不能是.pem.txt） - 路径要稳定、无中文、无空格；推荐位置：
C:\php\cacert.pem（Win）或/usr/local/etc/php/cacert.pem（macOS/Linux） - 确保 PHP 进程有读权限（Linux/macOS 下
chmod 644）
改完 php.ini 后为什么还不生效
常见静默失败原因：
- 改的是 Web SAPI 的
php.ini，但你在终端跑composer install调用的是 CLI 版本 —— 先执行php --ini确认你改的是哪个文件 - 没重启 CLI 进程：关掉所有终端窗口再重开，否则 PHP CLI 仍缓存旧配置
- 没重启 Web 服务：Apache/Nginx/php-fpm 必须 reload 或 restart，光刷新页面没用
- 验证是否生效：
php -r "var_dump(ini_get('curl.cainfo'));"输出必须是你刚写的路径
真正容易被忽略的是：CLI 和 Web 的 PHP 配置经常不一致，which php 和 php --ini 得一起看，不然修了半天可能根本没动到正在用的那个 ini 文件。
