Composer SSL证书错误源于PHP OpenSSL扩展找不到或不信任系统CA证书包，需通过配置php.ini中openssl.cafile和curl.cainfo指向有效cacert.pem路径来修复，禁用TLS仅限临时调试。
Composer 报错 SSL certificate verify failed，不是证书“坏了”，而是 PHP 的 OpenSSL 扩展找不到或不信任系统 CA 证书包 —— 直接禁用 SSL 验证只是掩盖问题，且在生产环境绝对不可取。
为什么 composer install 突然报 SSL 证书错误
常见触发场景包括：Windows 上通过某些安装包（如 XAMPP、WAMP）部署的 PHP；Mac 使用 Homebrew 安装但未配置 CA 路径；Docker 容器内缺失 ca-certificates 包；或 PHP 编译时未链接系统 OpenSSL。
关键点在于：openssl.cafile 或 curl.cainfo 这两个 php.ini 配置项为空或指向了不存在的路径。可用以下命令验证：
php -r "print_r(openssl_get_cert_locations());"
若输出中 default_cert_file 是空字符串或路径不存在，就确认是此问题。
优先修复：手动指定 CA 证书路径（推荐）
不改全局安全策略，只补上缺失的链路。以主流平台为例：
- Windows（XAMPP）：下载 cacert.pem，保存到
C:\xampp\php\extras\ssl\cacert.pem，然后编辑php.ini，添加或修改两行：
openssl.cafile="C:\xampp\php\extras\ssl\cacert.pem" curl.cainfo="C:\xampp\php\extras\ssl\cacert.pem"
- macOS（Homebrew PHP）：运行
brew install ca-certificates，再查路径：brew --prefix ca-certificates，通常为/opt/homebrew/etc/ca-certificates，然后在php.ini中填入：
openssl.cafile="/opt/homebrew/etc/ca-certificates/cert.pem" curl.cainfo="/opt/homebrew/etc/ca-certificates/cert.pem"
改完重启 Web 服务或 CLI 环境，再试 composer diagnose 应显示 OK。
临时绕过（仅限开发/调试，切勿用于 CI 或服务器）
如果必须快速跳过验证（例如离线测试、内网无证书环境），有且仅有两种安全边界清晰的方式：
- 对单次命令禁用：使用
-n（no-interaction）+--no-ssl不生效，真正有效的是设置环境变量：
COMPOSER_DISABLE_TLS=1 composer install
- 或临时覆盖 config（仅当前项目）：
composer config -g secure-http false
注意：secure-http false 只影响 HTTP 源（如 http://packagist.org），而 COMPOSER_DISABLE_TLS=1 才真正跳过 HTTPS 证书校验。两者都让流量明文传输，中间人攻击风险直接暴露。
为什么 git config --global http.sslVerify false 有时也得一起配
Composer 在拉取 VCS 包（如 "type": "vcs" 的 Git 仓库）时，会调用系统 git 命令。若 git 自身也校验 SSL 失败，就会卡在 Cloning into... 步骤，报错类似 unable to access 'https://...': SSL certificate problem。
此时需单独配置 git：
git config --global http.sslVerify false
但更稳妥的做法是让 git 也复用同一份证书：
git config --global http.sslCAInfo "/path/to/cacert.pem"
尤其在 CI 流水线里混用 Composer + Git 子模块时，漏掉这步会导致构建随机失败。
证书问题本质是信任链断裂，不是 Composer 的 bug。修路径比关开关多花两分钟，但省去后续所有“为什么本地好使线上炸了”的排查时间 —— 特别是在容器或新部署机器上，ca-certificates 包和 PHP 的 .pem 路径匹配，是最容易被跳过的硬依赖。
