真正生效的配置必须同时满足三点：curl.cainfo和openssl.cafile指向同一绝对路径；该路径下cacert.pem文件存在且大小>0；CLI模式下使用的php.ini是真正被加载的那个。
php.ini里curl.cainfo和openssl.cafile没配对，禁用SSL只是掩耳盗铃
Composer报SSL verify failed时，直接设COMPOSER_DISABLE_TLS=1或composer config -g disable-tls true看似快，实则掩盖了PHP底层证书链断裂的事实。这类操作会让所有HTTPS请求降级为HTTP，私有仓库的Token、API密钥可能明文暴露在中间网络中。
真正生效的配置必须同时满足三点：curl.cainfo和openssl.cafile指向同一绝对路径；该路径下cacert.pem文件存在且大小 > 0；CLI模式下使用的php.ini是真正被加载的那个。
- 运行
php --ini确认Loaded Configuration File路径，别改错文件 - 用
php -r "print_r(openssl_get_cert_locations());"看default_cert_file是否为空或指向无效路径 - Windows下路径写成
"C:/php/extras/ssl/cacert.pem"，单反斜杠C:\php\extras\ssl\cacert.pem会被PHP当转义符解析失败
镜像源切不对，换一百次也报SSL certificate problem
阿里云镜像https://mirrors.aliyun.com/composer/本身证书有效，但如果你的PHP连curl -v https://mirrors.aliyun.com/composer/packages.json都报SSL certificate problem: unable to get local issuer certificate，说明问题不在镜像，而在本地cURL无法校验任何HTTPS站点——此时换源毫无意义。
国内用户常误以为“能浏览器打开镜像地址=PHP能通”，其实PHP CLI环境不继承系统或浏览器证书信任链，它只认php.ini里写的那两个配置项。
- 先验证基础HTTPS能力：
curl -v https://packagist.org/packages.json和curl -v https://mirrors.aliyun.com/composer/packages.json必须都成功 - 若两者都失败，立刻停手，回头检查
curl.cainfo路径和文件可读性 - 全局设置镜像仅在证书修复后才有意义：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
composer config -g cafile为什么经常不生效
composer config -g cafile只影响Composer自己封装的HTTP客户端（基于php-http），但它无法覆盖PHP原生cURL扩展的行为。当你执行composer install时，底层仍由cURL发起HTTPS请求，而cURL优先读取curl.cainfo而非Composer配置。
典型表现是composer diagnose显示“CA file configured”，但composer install依然报错；或者Git克隆私有包时照样失败——因为Git走的是系统cURL，不经过Composer HTTP层。
- 临时兜底可用：
composer config -g cafile "/path/to/cacert.pem"，但前提是php.ini里curl.cainfo已失效且你无法修改它 - CI/CD环境建议预置证书路径并硬编码进构建脚本，避免依赖运行时探测
- 别指望
cafile配置能修复OpenSSL扩展加载失败、DLL缺失或系统时间偏差 > 5分钟等问题
Linux/macOS/Windows三平台证书路径差异与陷阱
不同系统默认CA路径差异大，且PHP未必自动识别。比如macOS Homebrew PHP默认不设openssl.cafile，Linux Alpine容器甚至默认不装ca-certificates包。
关键不是“找系统路径”，而是“让PHP明确知道路径在哪”。手动指定比依赖自动探测更可靠。
- Linux：下载
cacert.pem到/usr/local/etc/php/cacert.pem，再设curl.cainfo = "/usr/local/etc/php/cacert.pem" - macOS Homebrew：先
brew install ca-certificates，再查路径brew --prefix ca-certificates，通常为/opt/homebrew/etc/ca-certificates/cert.pem - Windows：证书文件存
C:/php/extras/ssl/cacert.pem，php.ini里两行必须用双引号包裹正斜杠路径
改完php.ini必须关掉当前终端重开，CLI PHP不热加载配置。最易忽略的是：你以为改了，其实编辑的是Apache模块用的php.ini，而composer跑在CLI模式下——两个ini文件根本不是同一个。
