composer ssl证书错误本质是php未配置ca证书路径，应通过php.ini设置curl.cainfo指向有效cacert.pem文件并重启服务，而非禁用ssl验证或仅用composer config。
composer install 报错 “SSL certificate problem: unable to get local issuer certificate”
这是 Windows 或某些 Linux 环境下最常见的 composer SSL 证书问题，本质不是证书过期，而是 PHP 没法验证 HTTPS 响应的证书链——因为默认没配 CA 证书包路径。
常见错误现象：
• 执行 composer install、composer update 或 composer create-project 时卡在 https://packagist.org 请求
• 错误信息里明确含 SSL certificate problem、unable to get local issuer certificate、CURLOPT_SSL_VERIFYPEER 等关键词
• 同一网络下浏览器能正常访问 packagist.org，但 composer 不行
- 别直接关 SSL 验证（比如设
openssl.cafile=为空或加--no-verify），这会暴露依赖投毒风险 - 优先让 PHP 正确加载系统或自带的 CA 包，而不是绕过校验
- Windows 用户最常漏掉的是：PHP 自带的
curl.cainfo没指向有效的.pem文件 - Linux/macOS 用户如果用 Homebrew 或自编译 PHP，可能根本没装 CA 包，或路径不对（比如指向了空文件、过期 bundle）
php.ini 里怎么配 curl.cainfo 才生效
curl.cainfo 是 PHP 的核心配置项，它告诉 cURL 用哪个证书文件验证 HTTPS。配错路径、写错 ini 文件、没重启服务，都会让设置白搭。
- 先确认你在改对的
php.ini：运行php --ini看 Loaded Configuration File 路径，别改错位置（比如 CLI 和 Web SAPI 的 ini 常不同） - 下载一个可信的 CA 包，推荐用 Mozilla 官方维护的
cacert.pem：
→ 访问https://curl.se/ca/cacert.pem，保存为本地文件（如C:\php\extras\ssl\cacert.pem或/usr/local/etc/php/cacert.pem） - 在
php.ini中取消注释并修改这一行：curl.cainfo = "C:\php\extras\ssl\cacert.pem"（Windows 注意双反斜杠或正斜杠都行，但必须是完整路径）curl.cainfo = "/usr/local/etc/php/cacert.pem"（macOS/Linux 注意权限：确保 PHP 进程可读） - 改完后必须重启 PHP 服务（如 Apache/Nginx）或终端——CLI 下直接运行
php -r "var_dump(ini_get('curl.cainfo'));"验证是否生效
composer config --global 还是 php.ini？优先级和适用场景
composer config --global 只能控制 Composer 自身行为，**不能替代 curl.cainfo**。它对 SSL 根本没用，别被网上某些过时方案误导。
-
composer config --global cafile /path/to/cacert.pem是 Composer 1.10+ 加入的选项，但它只影响 Composer 内部 HTTP 客户端（部分版本），不接管 PHP cURL 底层；实测多数环境仍报 SSL 错误 - 真正起作用的永远是 PHP 层的
curl.cainfo—— 因为composer底层调用的就是 PHP 的cURL扩展 - 如果你用的是 Docker，别只改宿主机的 php.ini；要进容器改对应 PHP 镜像里的配置，或构建时 COPY 新的 cacert.pem 并更新 ini
- 某些共享主机不允许改 php.ini？那就换用
COMPOSER_CAFILE环境变量（Composer 2.2+ 支持）：export COMPOSER_CAFILE=/path/to/cacert.pem（Linux/macOS）set COMPOSER_CAFILE=C:\path\to\cacert.pem（Windows CMD）
为什么有些机器重装 PHP 就好了，有些却反复出问题
根本差异在「CA 证书来源」和「PHP 构建方式」。不是所有 PHP 发行版都自带可用的证书包，也不是所有系统默认信任链能被 PHP 正确读取。
- Windows XAMPP/MAMP/WampServer：通常自带
curl.cainfo指向一个旧版php_cacert.pem，但该文件可能多年未更新，已无法验证 Let’s Encrypt 新签发的证书 - Ubuntu/Debian 的
php-curl包依赖ca-certificates，但 PHP 编译时若没指定--with-curl或没链接系统证书路径，仍会失效 - macOS Homebrew PHP：默认不设
curl.cainfo，得手动配；且 Homebrew 的ca-certificates有时权限为 root-only，PHP 进程读不了 - 最容易被忽略的一点：某些杀毒软件或企业代理会劫持 HTTPS 流量，注入自己的根证书——这时你得把那个私有 CA 导出成 PEM，追加到你的
cacert.pem末尾，否则照样报错
