Composer本身不建立安全连接，其HTTPS请求依赖PHP底层cURL或stream扩展及系统证书配置；报“SSL certificate problem”本质是PHP无法验证TLS证书，常见原因包括系统缺失根证书、PHP未链接OpenSSL或OpenSSL版本过旧。
composer 本身不建立“安全连接”——它依赖 PHP 的底层网络能力（如 cURL 或 stream）发起 HTTPS 请求，真正的安全连接由 PHP 扩展和系统配置保障，不是 Composer 配置出来的。如果你在运行 composer install 时遇到证书错误、连接超时或被中间人拦截，问题不在 composer.json，而在环境信任链。
为什么 composer install 报 “SSL certificate problem”
这是最常见表象，本质是 PHP 无法验证远程 HTTPS 服务器的 TLS 证书。原因包括：
- 系统缺少根证书（如 Alpine Linux 默认无
ca-certificates） - PHP 编译时未链接 OpenSSL，或 OpenSSL 版本过旧（
- 使用了自签名代理（如企业内网 SSL 解密设备），但 PHP 未配置信任该代理证书
-
openssl.cafile或openssl.capath在php.ini中指向了空/无效路径
验证方式：php -r "print_r(openssl_get_cert_locations());" 看 default_cert_file 是否可读；再执行 curl -v https://packagist.org 对比行为是否一致。
如何让 composer 强制走可信 HTTPS（不关 secure-http）
"secure-http": true 是默认行为（Composer 2.0+），关掉它只会让问题更隐蔽。真正要做的，是确保底层能成功建连：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 安装系统级证书包：Ubuntu/Debian 执行
sudo apt-get install ca-certificates；Alpine 用apk add ca-certificates - 检查 PHP 是否启用
openssl扩展：php -m | grep openssl，若无输出需重编译或启用extension=openssl - 若必须信任私有 CA，把 PEM 文件追加到
openssl.cafile指向的文件，或设环境变量：export SSL_CERT_FILE=/path/to/your-ca-bundle.crt - 禁用
http://回退：确认composer config --global secure-http true已生效，且composer config --global --list中无secure-http=false
composer config repo.packagist false 后还报网络错误？
禁用 Packagist 只是屏蔽默认源，不代表 Composer 停止发 HTTP 请求——只要 composer.json 或全局配置里还留着其他 "type": "composer" 仓库（比如 Artifactory、私有镜像），它就会尝试连接那个地址。排查重点：
- 运行
composer config --global repos.packagist，输出应为false；若为空或报错，说明没生效 - 检查项目级配置：
composer config --list（不带--global），确认没有残留的repositories条目 - 临时加
--verbose运行composer install，看日志里第一个GET请求发给了谁——那才是真实出问题的源 - 若用
path或vcs仓库，它们不走 HTTP，但前提是composer.json中已明确定义且路径可达；否则仍会 fallback 到远程
离线环境误以为“连上了”，其实是缓存或本地文件在撑场子
Composer 会优先读取 ~/.composer/cache 里的元数据和 ZIP 包，哪怕你断网，composer install 也可能成功——但这不是“建立了安全连接”，只是复用了上次成功的下载结果。这种状态极不稳定：
- 缓存过期后（默认 15 天），再次运行会直接失败
- 换一台机器、清过缓存、或
composer.lock里有新包，就会暴露真实网络依赖 - 校验失败风险高：缓存包若被篡改，Composer 默认只校验 SHA1（非强哈希），且不强制验签
真离线必须砍断所有 HTTP 触发点：禁用全部远程仓库、不用 require、靠 path 或预置 vendor/ + 严格校验过的 composer.lock。
