根本问题是PHP的OpenSSL/cURL扩展找不到根证书文件，需在php.ini中用绝对路径同时配置openssl.cafile和curl.cainfo指向有效的cacert.pem，再重启对应服务验证
遇到Composer的SSL报错，先别急着在Composer本身打转。问题的根源往往不在它，而在于PHP的OpenSSL或cURL扩展找不到可用的根证书文件。直接去修改composer config，效果几乎为零。真正的解决之道，是让PHP自己加载正确的cacert.pem文件。
怎么确认是证书路径问题
诊断的第一步，运行下面这行命令：
php -r "print_r(openssl_get_cert_locations());"
你需要重点关注default_cert_file和ini_cafile这两个字段。如果它们显示为空、指向的路径不存在，或者对应的文件大小为零（可以用ls -l /path/to/file确认），那问题就八九不离十了。为了双重确认，可以再补一刀：
curl -v https://packagist.org/packages.json
如果这条命令也报SSL certificate problem或unable to get local issuer certificate这类错误，那就说明这并非Composer独有的问题，而是整个PHP或cURL层面的证书信任链断了。
php.ini 里必须同时设对这两个配置项
修复的关键，在于php.ini文件。这里有两个配置项必须同时设置正确：openssl.cafile和curl.cainfo。它们必须指向同一个有效的PEM格式证书文件，并且路径必须是绝对路径。使用相对路径、~（家目录）符号，或者在Windows下使用单反斜杠，都可能导致配置失效。
- Linux/macOS推荐路径：
/usr/local/etc/php/cacert.pem（适用于Homebrew安装的PHP）或/etc/ssl/certs/ca-certificates.crt（适用于Debian/Ubuntu系统，但需注意它有时是符号链接，PHP可能无法直接读取）。 - Windows推荐路径：
C:/php/extras/ssl/cacert.pem（使用正斜杠更安全）或C:\php\extras\ssl\cacert.pem（使用双反斜杠）。 - 证书文件从哪来？建议直接下载官方维护的最新版本：https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251，避免使用旧版XAMPP等集成环境自带的可能过期的证书。
找到CLI模式下实际加载的php.ini文件（运行php --ini，查看Loaded Configuration File一项），在其末尾添加如下两行：
openssl.cafile="/path/to/cacert.pem" curl.cainfo="/path/to/cacert.pem"
改完不重启 = 白改
这是一个非常关键却常被忽略的步骤。修改配置后，必须重启对应的服务才能使新配置生效。
- 在CLI（命令行）环境下，需要关闭当前终端窗口，重新打开一个新的。
- 在Web环境（如Apache/Nginx + php-fpm）下，必须重启Apache、Nginx或php-fpm服务，仅仅刷新网页或重载配置是不够的。
如何验证配置已生效？可以按下面三步走：
php -i | grep -E 'curl.cainfo|openssl.cafile'—— 输出应该显示为你刚刚设置的绝对路径。php -r "var_dump(file_get_contents(ini_get('curl.cainfo')) !== false);"—— 应该输出bool(true)，表示文件可读。php -r "print_r(openssl_get_cert_locations());"—— 检查输出的default_cert_file字段是否已更新为新的路径。
为什么 composer config --global cafile 不起作用
很多朋友会尝试composer config --global cafile /path/to/cacert.pem，但发现没用。这是因为这个设置只影响Composer自身封装的HTTP客户端（基于php-http库）。而绝大多数SSL证书验证错误，发生在更底层的cURL或OpenSSL扩展层面——它们根本不读取composer.json或Composer的全局配置。所以，在这里设置等于没设。
同理，试图用composer config --global secure-http false来关闭HTTPS验证不仅无效（因为Packagist从2022年起已强制使用HTTPS），还可能导致后续Composer命令直接报错退出。真正需要动的，只有php.ini里的那两行配置。
最后，还有几个最常被忽略的陷阱：你以为修改的是CLI使用的php.ini，但composer install命令可能通过Web SAPI（比如在某个Webhook中执行）加载了另一套配置；或者在Linux/macOS上，证书文件权限设置不当，导致PHP进程没有读取权限；又或者在Windows系统里，路径中混用了正反斜杠导致解析失败。排查时，这些细节都值得留意。
