Composer install不支持手动指定根证书，其SSL错误源于PHP环境未正确加载可信CA证书，需通过php.ini统一配置openssl.cafile和curl.cainfo指向同一有效cacert.pem文件，并重启服务。
composer install 不需要、也不支持手动指定根证书。它底层用 PHP 的 stream_context_create 或 cURL 发起 HTTPS 请求，完全依赖系统或 PHP 自身的信任证书库（如 OpenSSL 的 CA bundle），不提供类似 curl --cacert 或 wget --ca-certificate 的参数接口。
为什么你看到“SSL certificate problem”报错？
这不是 composer install 缺少证书配置选项，而是 PHP 运行环境没加载可信根证书。常见现象包括：
file_get_contents(): SSL operation failed with code 1. OpenSSL Error messages: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failedFailed to decode response: file_get_contents(): SSL operation failed...- 即使配置了阿里云镜像源（
https://mirrors.aliyun.com/composer/），仍卡在 TLS 握手阶段
根本原因只有两个：PHP 编译时未链接 OpenSSL，或 OpenSSL 找不到 CA bundle 路径。
怎么确认是证书问题，而不是网络或镜像源故障？
运行以下命令交叉验证：
php -r "print_r(openssl_get_cert_locations());"
重点看 default_cert_file 路径是否存在、是否可读。如果输出为空或路径指向不存在的文件（比如 /usr/lib/ssl/certs/ca-certificates.crt 在 Alpine 上实际是 /etc/ssl/certs/ca-certificates.crt），就确定是证书缺失。
再试一个最简 HTTPS 请求：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
php -r "echo file_get_contents('https://packagist.org/packages.json') ?: 'fail';"
如果这行也失败，说明问题出在 PHP 层面，和 Composer 无关。
修复方法取决于你的运行环境
不要试图给 composer install 加参数绕过——--ignore-platform-reqs 不影响证书校验，--no-ssl 根本不存在。
- Linux（Debian/Ubuntu）：
sudo apt update && sudo apt install -y ca-certificates - Linux（Alpine）：
apk add --no-cache ca-certificates，然后运行update-ca-certificates - macOS（Homebrew PHP）：
brew install ca-certificates && brew link --force ca-certificates，再检查php.ini中openssl.cafile是否指向$(brew --prefix)/etc/openssl@3/cert.pem - Docker（自定义镜像）：在
Dockerfile中明确 COPY 或安装证书，并设ENV PHP_INI_SCAN_DIR="/usr/local/etc/php/conf.d"+ 单独挂载openssl.cnf
改完后必须重启 PHP-FPM 或重跑 CLI，否则 openssl_get_cert_locations() 不会刷新。
私有仓库需额外处理证书？
如果你的 composer.json 配置了私有 Packagist（"repositories": [{"type": "composer", "url": "https://your.internal.repo"}]），且该域名用了内网自签名证书，那么唯一合规做法是把该证书追加到系统 CA bundle 中（如 /etc/ssl/certs/ca-certificates.crt 后执行 update-ca-certificates），而不是在 Composer 配置里写死路径——Composer 没这个字段。
临时调试可用 export COMPOSER_NO_SSL=1，但仅限本地开发，CI/CD 和生产环境禁用。它等价于强制降级 HTTP，会暴露认证凭据。
最常被忽略的一点：PHP 的 openssl.cafile 和 curl.cainfo 是两个独立 ini 项，某些 Docker 镜像只设了其中一个，导致 file_get_contents 成功而 cURL 失败（或反之），最终 composer install 在不同阶段随机失败。
