Composer self-update命令检测操作系统补丁对 SSL 握手的影响

Composer self-update 这个操作，其实是一面镜子——它会直接照出你系统里的 OpenSSL 补丁到底有没有到位。为什么这么说？因为 self-update 依赖 PHP 的 cURL 扩展去发起 HTTPS 请求，而 cURL 又直连底层的 OpenSSL。如果你的系统 OpenSSL 还没更新到 1.1.1+，并且缺少关键补丁（比如 ISRG Root X1 的信任链），那它根本没法跟 Packagist 服务端协商 TLS 1.2+ ？現代密碼套件結果就是握手階段直接卡死典型報錯cURL error 35或者 ssl connect error

为什么 self-update < /h3>

問題的根源其實很清楚 composer self-update 通過 PHP 的 cURL 扩展发 HTTPS 请求而 cURL 又直接调用系统 OpenSSL。一旦系统里的 OpenSSL 没打补丁（比如还停留在 1.1.1 以下），那么 Packagist 服务端强制要求的 TLS 1.2+ 和现代密码套件就根本协商不上。这不是 Composer 自身能绕过的——它是在握手阶段就被操作系统底层给拦住了。

实际现象呢？你会看到 composer 卡在 cURL error 35: SSL connect error，或者直接超时。运行 composer diagnose 也会明确报出 curl: (35) SSL connect error，而不是常见的网络不通或 DNS 解析失败。

• 比如 CentOS 7 自带的 OpenSSL 1.0.2k 早就停止维护了，不支持 TLS 1.3，而且它带的一些旧密码套件已经被禁用，直接造成握手失败。
• Ubuntu 18.04 LTS 的 openssl 包，如果一直没有执行 apt upgrade，很可能还停留在 1.1.1-1ubuntu2.x，缺了 2025 年之后的那些关键补丁。
• macOS 上用 Homebrew 安装的 PHP，如果不同步更新 openssl@3，它绑定的 libssl 就可能不包含 ISRG Root X1 信任链补丁。

验证 OpenSSL 是否已打关键补丁

这里有个坑：很多人在检查 OpenSSL 时只看版本号，但真正重要的是你实际运行时加载的是哪个实例，以及它有没有包含必需的补丁。

• 先运行 openssl version -a，重点看 built on 的日期——必须晚于 2025 年 3 月（ISRG Root X1 全面启用时间）。
• 接着运行 php -i | grep -i "openssl version"，确认 PHP 加载的 OpenSSL 版本跟上一步拿到的一致。如果不一致，说明 PHP 编译时链接了旧库。
• 最后执行 openssl s_client -connect packagist.org:443 -tls1_2，如果成功返回证书链，说明 TLS 1.2 是通的；如果报 ssl handshake failed，那就是补丁缺失或配置有问题。

self-update 失败时如何区分是系统补丁问题还是镜像缓存问题

系统补丁问题和镜像缓存问题，两者的表面现象很像，但排查思路完全是两码事。

• 如果是系统补丁问题，你直接 curl -v https://packagist.org/packages.json 同样会失败，错误信息里会出现 SSL certificate problem 或 SSL connect error。
• 如果是镜像缓存导致的“假最新”，那么用 composer self-update --mirror https://getcomposer.org/ 往往能成功升级，但用国内镜像（比如阿里云）时始终提示 Up to date，即使版本明显偏旧。
• 一个临时验证方法：运行 COMPOSER_DISABLE_TLS=true composer self-update，如果能跑通，基本可以排除系统补丁问题，大概率是镜像或网络中间设备捣鬼。

补丁更新后仍 self-update 失败的隐藏原因

你以为打了补丁就万事大吉了？没那么简单。即使 OpenSSL 版本对了，PHP 还可能加载着旧的 CA 证书，或者证书路径本身就是错的。

• 运行 php -r "print_r(openssl_get_cert_locations());"，检查 default_cert_file 指向的文件是否存在、大小是否 ≥ 200KB——权威的 cacert.pem 当前大约 350KB。
• 如果路径是 /etc/ssl/certs/ca-certificates.crt，但 ls -l 显示它是一个 0 字节的符号链接或者权限是 000，那 PHP 就什么证书都读不到。
• Windows 用户容易踩的一个坑：在 php.ini 里改了 openssl.cafile，却忘了 CLI 和 Web SAPI 用的是不同的 ini 文件。务必用 php --ini 确认你正在编辑的是 CLI 配置。
• macOS 上 Homebrew 安装的 PHP 默认不读系统证书路径，必须显式配置 curl.cainfo 和 openssl.cafile 指向 /usr/local/etc/php/cacert.pem——而且这个文件需要手动下载并放过去。

补丁本身只是起点，真正让 self-update 正常工作，需要 OpenSSL、cURL、PHP 三者版本协同，再加上 CA 证书路径可读、可验证。这四环只要漏掉任意一环，self-update 就会在 TLS 握手那一步悄悄失败——连个明显的错误提示都未必有。