Composer本身不提供ssl-ciphers配置项，其TLS加密套件由底层OpenSSL自动协商决定，无法通过composer.json或config.json配置干预，只能通过升级OpenSSL、调整系统openssl.cnf或环境变量等方式间接约束。
composer config 里没有 ssl-ciphers 配置项
Composer 本身不提供 ssl-ciphers 这类直接控制 TLS 加密套件的配置项。它底层依赖 PHP 的 cURL 或 stream 扩展发起 HTTPS 请求，而加密套件的选择由 OpenSSL（或系统的 TLS 库）在握手阶段协商决定，Composer 不参与、也无法通过配置文件干预该过程。
常见误解是想在 composer.json 或 config.json 中加一行 "ssl-ciphers": "TLS_AES_128_GCM_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256" —— 这不会生效，Composer 解析配置时会忽略该字段，也不会透传给 cURL。
- 真正控制加密套件的是 PHP 进程启动时加载的 OpenSSL 版本及其编译参数
- 可通过
php -r "print_r(openssl_get_cipher_methods());"查看当前可用 cipher 列表 - 若需强制限制套件（如满足等保或 PCI DSS 要求），必须在系统/容器层面配置 OpenSSL 的
openssl.cnf，或在 PHP 启动前设置环境变量OPENSSL_CONF
如何让 Composer 使用符合合规要求的 TLS 版本与套件
虽然 Composer 没有直接开关，但可通过三类手段间接约束 TLS 行为：
- 升级 OpenSSL 和 PHP：旧版 OpenSSL（如 1.0.2 或更早）默认启用不安全套件（如 RC4、SHA1），且不支持 TLS 1.3。建议使用 OpenSSL 1.1.1+ 或 3.x，并确认 PHP 编译时链接的是新版库
-
禁用弱协议：在系统级修改
/etc/ssl/openssl.cnf，添加MinProtocol = TLSv1.2和CipherString = DEFAULT@SECLEVEL=2（OpenSSL 1.1.1+） -
验证实际协商结果：运行
php -r 'print_r(stream_context_get_options(stream_context_create(["ssl" => ["capture_peer_cert" => true]])));'不够直观；更可靠的是用openssl s_client -connect packagist.org:443 -tls1_2手动测试，观察Protocol和Cipher输出
cafile 配置不影响加密套件，只影响证书信任链
composer config -g cafile /path/to/cert.pem 的作用仅是替换默认 CA 证书路径，用于验证服务器证书签名是否可信——它不改变 TLS 握手时的协议版本选择，也不过滤可用 cipher list。
容易混淆的点：
- 报错
SSL certificate problem: unable to get local issuer certificate是证书链问题，不是套件不匹配 - 报错
SSL routines:ssl3_get_record:wrong version number才可能指向协议不兼容（比如服务端只支持 TLS 1.3，客户端 OpenSSL 太旧） - 即使你指定了
cafile，如果系统 OpenSSL 仍允许 TLS 1.0，Composer 就可能协商出该版本（取决于服务端是否接受）
Docker 和 CI 环境中 TLS 合规性最容易被忽略
基础镜像（如 php:8.1-cli）常自带老旧 OpenSSL，且未更新 CA 包；CI runner（如 GitHub Actions 默认 Ubuntu 20.04）的 OpenSSL 版本也滞后。这些环境里 Composer 表面能跑，但实际 TLS 协商可能降级到 TLS 1.1 或启用弱套件。
实操建议：
- 构建镜像时显式安装新版 OpenSSL：Debian/Ubuntu 上执行
apt-get update && apt-get install -y openssl libssl-dev，再确认openssl version -a输出版本 ≥ 1.1.1 - CI 脚本开头加校验：
openssl version | grep -E "1\.1\.1|3\." || (echo "OpenSSL too old"; exit 1) - 避免用
--no-verify-peer或disable-tls临时绕过错误——这等于放弃整个 TLS 层安全，比套件不合规更危险
