SSL证书问题需先确认是否为证书链缺失：运行php -r "print_r(openssl_get_cert_locations());"查默认证书路径，再用curl -v https://packagist.org/packages.json验证是否同样报错60，最后检查composer config --global ssl.cafile是否正确配置PEM格式CA文件且PHP进程有读权限。
Composer 在终端建立安全连接，核心不是“连上就行”，而是确保每次 HTTPS 请求都走可信链路：CA 证书有效、仓库认证不跳过、签名校验不关闭。任何环节松动，都可能拉下被篡改的包。
SSL certificate problem 怎么快速定位是证书问题还是配置问题
报错如 SSL certificate problem: unable to get local issuer certificate 或 curl error 60，先别急着关 secure-http。执行这三步：
- 运行
php -r "print_r(openssl_get_cert_locations());"，看default_cert_file路径是否存在且可读 - 检查
composer config --global --list | grep ssl.cafile是否有输出；没输出说明没配自定义 CA，得靠系统路径 - 用
curl -v https://packagist.org/packages.json单独测，如果也报 60，就确认是 PHP/cURL 层问题，不是 Composer 特有
composer config ssl.cafile 配了却没生效？检查这四个硬条件
ssl.cafile 是全局生效的开关，但极易因细节失效：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须用
--global：执行composer config --global ssl.cafile /path/to/ca.pem，项目级配置对网络请求无效 - 文件必须是纯 PEM 格式、无 BOM、无注释行，且含完整中间 CA + 根 CA（顺序：中间在前，根在后）
- PHP 进程需有读权限——尤其在宝塔或 php-fpm 环境下，
www-data或nginx用户可能读不了家目录下的文件 - Composer ≥2.5 会先尝试用该文件初始化 OpenSSL 上下文，失败则静默 fallback 到系统默认，不会报错，所以得靠
openssl_get_cert_locations()反向验证
私有 Bitbucket 仓库连不上？90% 卡在认证没触发
报 Could not fetch https://api.bitbucket.org/2.0/repositories/... 或 403，不是密码错，而是根本没走到认证步骤：
- 必须只配
bitbucket-oauth.bitbucket.org字段：composer config --global bitbucket-oauth.bitbucket.org <your-app-password>，其他字段如http-basic或手写auth.json全部被 Composer 2+ 忽略 -
composer.json中私有仓库声明必须同时满足三项："type": "vcs"、"url"以.git结尾、require的包名与私有库name字段逐字符一致（大小写敏感） - 私有源必须放在
repositories数组首位，并显式禁用默认源：{"packagist.org": false}，否则 Composer 永远先查公网
用镜像站加速却不敢关 signature？那就只代理元数据
直接 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 会静默关闭包签名验证，风险极高。安全做法是：
- 先禁用默认兜底：
composer config -g repos.packagist false - 再添加元数据代理：
composer config -g repos.packagist.type composer和composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/（注意 URL 末尾必须有/） - 最后强制启用校验：
composer config -g security.signature true - 验证：
composer diagnose输出中必须同时出现secure-http: OK和signature verification: OK
真正难的不是命令怎么敲，而是每一步背后都有一个“不满足就静默失败”的机制：CA 文件权限不对、Bitbucket 域名多写了 www.、镜像 URL 少了个斜杠……这些细节不会报错，只会让你花几小时怀疑人生。
