PHP 8.5.7中SSL/TLS握手失败核心原因非代码问题，而是OpenSSL Library Version低于1.1.1、CLI与Web环境php.ini配置不一致、CA证书路径无效或TLS 1.3协商缺陷所致，须通过php -i查Library版本、openssl_get_cert_locations()验CA路径、openssl s_client逐版本探测定位。

PHP 8.5.7 环境中 OpenSSL 握手失败，核心问题几乎从不来自 PHP 代码本身，而是底层 OpenSSL 库版本、链接状态、CA 证书路径或协议协商不匹配所致。排查需跳过“改代码”直击运行时真实能力。

确认 PHP 实际绑定的 OpenSSL 版本

别信系统 openssl version 或 phpinfo() 里的 Header Version——它只反映编译时头文件版本，真正起作用的是 Library Version：

• 运行 php -i | grep -i "openssl library version"，记下输出（例如 OpenSSL Library Version => OpenSSL 1.0.2u）
• 若版本低于 1.1.1（如 1.0.2、1.0.1），则默认不支持 TLS 1.3，且对现代加密套件兼容性差，握手失败概率极高
• 再执行 php -r "print_r(openssl_get_cipher_methods());"，检查输出是否含 tls1_3、aes-256-gcm 等关键词；无则说明 TLS 1.3 未启用或不可用

区分 CLI 与 Web 环境配置差异

同一个 PHP 版本，命令行能连 HTTPS 而网页报错，大概率是两个环境加载了不同 php.ini 和 OpenSSL 扩展：

PHP 8.5.12 RC 1

PHP 8.5.12 RC 1 候选版修复 BZ2、DOM、PDO、Opcache/JIT 和扩展内存安全问题，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• 执行 php --ini 查 CLI 加载的配置路径，重点关注 “Loaded Configuration File”
• 在 Web 页面中调用 phpinfo()，搜索 “Loaded Configuration File”，对比路径是否一致
• Ubuntu/Debian 常见情况：/etc/php/8.5/cli/php.ini 和 /etc/php/8.5/apache2/php.ini 是独立文件，需分别确认 extension=openssl 已启用且无分号注释
• Windows 用户务必用 php --ini 验证实际生效的 ini 文件，避免误改 php.ini-development 或 php.ini-production 副本

验证 CA 证书路径是否有效

即使 OpenSSL 版本达标，certificate verify failed 类错误绝大多数源于 CA bundle 缺失或路径错误：

立即学习“PHP免费学习笔记（深入）”；

• 运行 php -r "print_r(openssl_get_cert_locations());"，重点看 default_cert_file 值是否存在、路径可读、文件非空
• 若为空或指向过期文件（如 CentOS 7 自带的老 ca-bundle.crt），需手动指定最新 CA 包：https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251
• 在 php.ini 中统一设置两处路径（CLI 和 Web 环境均需配）：
  openssl.cafile=/usr/local/share/ca-bundle.crt
  curl.cainfo=/usr/local/share/ca-bundle.crt
• 改完后必须重启 PHP-FPM 或 Apache/Nginx，否则不生效

强制 TLS 版本并抓包验证协商过程

当服务端或中间设备（WAF、代理）对 TLS 1.3 支持不完整时，握手可能静默中断：

• 临时在 cURL 请求中显式降级：
  curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2);
• 用 OpenSSL 命令模拟客户端，观察真实握手行为：
  openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_2
  若成功但 -tls1_3 失败，基本锁定是 TLS 1.3 协商缺陷
• 搭配 Wireshark 抓包，过滤 ssl.handshake，看 ClientHello 发出后 ServerHello 是否返回、是否出现 Alert 包，定位卡点在证书、密钥交换还是协议选择阶段