应优先配置国内镜像源（如腾讯镜像），若确需临时跳过ssl验证，仅对当前项目执行composer config secure-http false，避免全局关闭；禁用后需确认包源仍走https且证书可信，上线前务必清除相关配置。
composer install 时提示 SSL certificate problem 怎么办
直接跳过 SSL 验证是危险操作，但开发环境临时调试时，composer install 卡在证书错误（如 CURLOPT_SSL_VERIFYPEER failed）确实让人抓狂。核心不是“怎么关”，而是“在哪关、关多久、关了之后会出什么问题”。
最常用且可控的方式是通过 Composer 自身配置禁用证书验证，而非改 PHP 或 cURL 全局设置——避免影响其他命令或项目。
- 运行
composer config -g secure-http false：全局关闭 HTTPS 强制要求（注意：这会让所有包源走 HTTP，不只是证书校验） - 更精准的做法是只对当前项目关 SSL 校验：
composer config secure-http false（去掉-g），再执行composer install - 如果仍报错，大概率是源本身用了自签名证书，此时需额外加
composer config -g cafile /path/to/cert.pem或设空值绕过：composer config -g cafile ""
为什么 setopt(CURLOPT_SSL_VERIFYPEER, false) 不起作用
你可能在 php.ini 或代码里改了 CURLOPT_SSL_VERIFYPEER，但 Composer 并不读取这个 PHP 层面的 cURL 设置——它用的是自己的 HTTP 客户端封装（Composer\Util\HttpDownloader），底层虽用 cURL，但证书校验逻辑由 Composer 自己控制。
换句话说：改 php.ini 里的 curl.cainfo 或写 PHP 脚本调 curl_setopt，对 composer 命令完全无效。
- Composer 的证书行为由
secure-http配置项和cafile配置项联合控制 -
cafile为空或不存在时，Composer 会 fallback 到系统默认 CA 包；设为空字符串（""）才真正跳过验证 - Windows 用户常遇到
openssl.cafile路径含空格或反斜杠未转义，导致 Composer 加载失败，表现为“SSL handshake failed”而非明确的证书错误
packagist.org 被墙时，仅关 SSL 验证没用
国内访问 packagist.org 失败，90% 情况不是证书问题，而是 DNS 污染或连接超时。这时候关 SSL 验证只会换来新的错误：Could not resolve host: packagist.org 或 Connection timed out。
必须配合镜像源使用，否则关 SSL 是白忙活。
- 优先换国内镜像：
composer config -g repo.packagist composer https://packagist.phpcomposer.com（已停用）或更推荐的：composer config -g repo.packagist composer https://packagist.proxy.tencent.com - 镜像源本身也必须支持 HTTPS；若镜像用的是自签名证书，才需要同步配
cafile "" - 检查是否误开了代理：某些公司网络强制走代理，而 Composer 默认不走系统代理，需显式配置
http-proxy或https-proxy
CI/CD 流水线里禁用 SSL 验证的风险点
在 GitHub Actions、GitLab CI 等环境里加 composer config -g secure-http false，看似省事，实则埋下持续性风险：一旦某天镜像源切回 HTTPS+有效证书，或团队引入私有包仓库，这个全局设置会让所有后续构建跳过证书校验，连中间人攻击都检测不到。
CI 环境更稳妥的做法是信任特定 CA，而不是彻底关闭验证。
- 下载可信 CA 包（如 Mozilla 的
cacert.pem），用composer config -g cafile /tmp/cacert.pem - 或使用容器镜像自带的 CA（如
php:8.2-cli已内置最新 CA），避免手动干预 - 绝对不要在 CI 脚本里写
export COMPOSER_NO_SSL=1—— 这个环境变量根本不存在，Composer 不识别
真正麻烦的从来不是“怎么跳过”，而是跳过之后，哪次请求走了 HTTP、哪个包源被降级、哪条日志里藏着证书失效却没报错。留个心眼：每次 composer config 改完，跑一遍 composer config --list 确认生效范围；上线前删掉所有 cafile "" 和 secure-http false 配置。
