Composer报SSL错误本质是PHP的OpenSSL或cURL扩展无法验证证书链，需确保openssl扩展启用且openssl.cafile与curl.cainfo指向有效的绝对路径cacert.pem文件。
Composer 报 SSL 错误，本质不是 Composer 问题，而是 PHP 的 OpenSSL 或 cURL 扩展无法验证远程证书链。直接禁用 TLS 只能应急，真正解决必须让 PHP 能读到有效 CA 证书。
检查 openssl 扩展是否启用且证书路径正确
很多报错其实卡在第一步：PHP 根本没加载 openssl，或加载了但证书路径为空/错误。运行 php -m | grep openssl 确认扩展存在；再执行 php -i | grep -E "(openssl.cafile|curl.cainfo)" 查看实际生效的证书路径。常见坑点：
-
php.ini里写了openssl.cafile，但你改的是 Web 版本的 php.ini，而命令行用的是另一个（用php --ini确认） - 路径用了相对路径（如
./cacert.pem），PHP CLI 不会按当前目录解析，必须写绝对路径 - Windows 下路径反斜杠没转义，写成
C:phpcacert.pem会被当转义字符处理，应写为C:\php\cacert.pem或C:/php/cacert.pem
下载并配置有效的 cacert.pem 文件
系统自带证书过旧是高频原因，尤其是 macOS 更新后、Windows 原生 PHP 或某些集成环境（如 XAMPP、MAMP）。推荐从官方源获取最新根证书：
- 下载地址：
https://curl.haxx.se/ca/cacert.pem（注意不是旧版 curl.haxx.se/docs/caextract.html） - 保存为本地文件，例如：
/usr/local/etc/php/cacert.pem（macOS/Linux）或C:\php\cacert.pem（Windows） - 在 php.ini 中设置两处（二者都需）：
openssl.cafile="/path/to/cacert.pem"和curl.cainfo="/path/to/cacert.pem" - 改完重启终端（CLI 环境不读缓存），再运行
php -r "print_r(openssl_get_cert_locations());"验证路径是否生效
临时绕过证书校验只适用于调试
禁用 SSL 验证不能“解决”问题，只会掩盖底层环境缺陷，且在多数场景下根本无效——因为错误来自 PHP stream/curl 层，不是 Composer 自己的开关能控制。以下操作仅限内网、CI 测试或完全离线开发：
- 单次命令跳过（最小影响）：
composer install --no-secure-http—— 注意这只是关掉 HTTPS 强制要求，不关证书校验 - 真正禁用证书校验需改 PHP 层：
COMPOSER_NO_SSL=1 composer install（Linux/macOS）或set COMPOSER_NO_SSL=1 && composer install（Windows CMD） - 全局禁用（危险！不推荐）：
composer config -g disable-tls true+composer config -g secure-http false，之后所有包都走 HTTP，中间人攻击风险拉满
优先切国内镜像并确认其证书有效性
阿里云、腾讯云、华为云等镜像站本身用的是合法 TLS 证书，但如果你本地证书库失效，连镜像站也会报错。所以“换镜像”和“配证书”不是二选一，而是要一起做：
- 设镜像：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 清缓存：
composer clear-cache（否则失败记录残留，重试仍卡住） - 验证镜像可用性：
curl -I https://mirrors.aliyun.com/composer/packages.json—— 如果这步也失败，说明是底层环境问题，不是 Composer 配置问题 - 某些企业网络会劫持 HTTPS 流量（如深信服、奇安信设备），此时即使证书路径正确也会失败，需联系 IT 部门放行或导出设备根证书手动加入
cacert.pem
最常被忽略的一点：错误可能同时出现在多个层级——PHP CLI 的 openssl 配置、系统 curl 默认证书、甚至 shell 环境变量 SSL_CERT_FILE 冲突。不要只改一个地方就认为“应该好了”，逐层验证输出才是关键。
