SSL_CERT_FILE和SSL_CERT_DIR优先级最高，Composer启动时立即检查并直接使用其指向的有效证书文件或目录，跳过后续所有路径查找；其次为PHP的openssl.cafile和openssl.capath配置；再次为COMPOSER_CAFILE；最后才尝试系统默认路径。
SSL_CERT_FILE 和 SSL_CERT_DIR 优先级最高
Composer 启动时会立刻检查 SSL_CERT_FILE 和 SSL_CERT_DIR 这两个环境变量，只要任一变量值指向一个可读的、有效的证书文件或目录，就直接用它，跳过后续所有路径查找。这不是 Composer 自己的逻辑，而是底层 OpenSSL 和 PHP 的行为，所以它比任何 Composer 配置都硬。
常见错误现象：curl: (60) SSL certificate problem 或 file_get_contents(): SSL operation failed，但你明明改了 composer.json 里的 config 段 —— 很可能是因为 SSL_CERT_FILE 指向了一个已损坏或过期的证书文件，导致整个 HTTPS 请求链失败。
- 验证方式：运行
echo $SSL_CERT_FILE（Linux/macOS）或echo %SSL_CERT_FILE%（Windows），再用ls -l或dir确认该路径存在且可读 - 临时绕过：在命令前加
SSL_CERT_FILE= composer install（注意等号后为空），强制清空该变量再试 - 别把
SSL_CERT_FILE指向目录，它只接受单个 PEM 文件；目录请用SSL_CERT_DIR
openssl.cafile 和 openssl.capath 是 PHP 层第二顺位
当环境变量为空或无效时，Composer 会读取 PHP 的 ini 配置项：openssl.cafile 和 openssl.capath。这两个值由 php --ini 所显示的主配置文件（如 /etc/php/8.2/cli/php.ini）定义，对 CLI 模式生效。
容易踩的坑是：你在 Apache 的 php.ini 里开了 openssl.cafile，但 Composer 运行在 CLI 下，实际加载的是另一个 php.ini —— 导致你以为配好了，其实没生效。
- 确认 CLI 使用的配置：运行
php -r "print_r(openssl_get_cert_locations());"，输出里default_cert_file就是当前生效的openssl.cafile值 -
openssl.capath必须是 OpenSSL 格式的哈希目录（不能直接放一堆 .crt 文件），常见于 RHEL/CentOS 系统，Debian/Ubuntu 更倾向用ca-certificates.crt单文件 - 修改后必须重启终端或重新加载 shell，PHP 不会热读 ini 变更
系统默认路径是兜底 fallback，不保证存在
前面两层都失败后，Composer 才会硬编码尝试几个常见系统路径，比如：/etc/ssl/certs/ca-certificates.crt（Debian/Ubuntu）、/etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem（RHEL/CentOS）。这些路径不是 Composer 写死的“首选”，而是最后实在没辙才去碰的 fallback。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
问题常出在容器、精简版 Linux 或 CI 环境里：这些路径根本不存在，或者文件为空，结果 Composer 报错说“no CA certificates found”，而不是继续往下找。
- 不要依赖这个 fallback 做正式部署，它不稳定；Dockerfile 中应显式
COPY证书或设SSL_CERT_FILE - macOS 用户注意：Homebrew 安装的 OpenSSL 默认证书路径是
/usr/local/etc/openssl@3/cert.pem（版本可能不同），不在 Composer 的硬编码列表里，必须靠环境变量或 php.ini 接入 - 运行
composer diagnose时最后一行如果显示CA bundle: /path/to/file，那就是当前实际生效的证书路径，以此为准
COMPOSER_CAFILE 是 Composer 自己的覆盖开关
COMPOSER_CAFILE 是 Composer 特有的环境变量，它不走 OpenSSL 层，而是在 Composer 自己的 HTTP 客户端初始化时被读取并覆盖所有其他来源。它的优先级介于 PHP 配置和系统路径之间 —— 比 openssl.cafile 高，但低于 SSL_CERT_FILE。
这个变量最实用的场景是：你无法修改系统或 PHP 配置（比如共享主机、CI runner 权限受限），又需要临时换一套证书（比如内网 CA）。
- 设置方式：
export COMPOSER_CAFILE=/path/to/internal-ca.pem，然后运行composer install - 它只影响 Composer 自身的 HTTP 请求，不影响
php -r "file_get_contents('https://...')"等原生 PHP 调用 - 和
SSL_CERT_FILE不同，COMPOSER_CAFILE不会干扰 cURL 扩展的全局行为，更安全可控
真正容易被忽略的是：这四层机制各自独立生效，没有“合并”或“追加”逻辑。一旦某一层命中，后面全跳过。调试时别只盯着 composer.json，先用 composer diagnose 看清楚到底哪一层在起作用，否则修了半天 php.ini，其实卡在 SSL_CERT_FILE 指向了一个 404 路径。
