PHP file_get_contents访问HTTPS时SSL验证间歇性异常求助

可能的原因 #

• 目标域名证书链不完整：很多网站的SSL证书依赖中间证书完成信任链验证，如果服务器未正确配置完整证书链，即便你的cacert.pem是最新的，也可能因缺少中间证书导致验证失败。像getcomposer.org这类正规站点偶尔也会出现服务器端证书链配置疏漏的情况。
• OpenSSL版本兼容性问题：PHP依赖的OpenSSL扩展版本过旧，可能不支持目标域名使用的新TLS协议（如TLS 1.3）或签名算法，导致验证逻辑无法正常执行。
• 系统/PHP SSL配置冲突：PHP可能未完全使用你指定的cacert.pem，而是 fallback 到系统默认的CA证书库，若系统CA库未包含目标域名的根证书，就会验证失败。
• 网络层拦截：透明代理、防火墙或安全软件可能替换了目标域名的SSL证书（做中间人攻击），导致本地验证时出现证书不匹配的错误，这种情况常表现为间歇性失败。

解决办法 #

1. 检查目标域名的证书链 #

用OpenSSL命令手动验证目标域名的证书链：

openssl s_client -connect getcomposer.org:443 -showcerts

查看输出中是否有untrusted标记，或是否缺少中间证书。如果是链不完整：

• 手动提取缺失的中间证书，追加到你的cacert.pem文件末尾；
• 联系目标网站管理员修复服务器端的证书链配置。

2. 强制指定SSL上下文参数 #

在file_get_contents调用中明确指定SSL上下文，确保PHP使用你配置的cacert.pem：

$context = stream_context_create([
    'ssl' => [
        'verify_peer' => true,
        'verify_peer_name' => true,
        'cafile' => '/绝对路径/to/cacert.pem',
        'allow_self_signed' => false
    ]
]);
$response = file_get_contents('https://getcomposer.org/versions', false, $context);

注意使用绝对路径，避免PHP因路径解析错误找不到证书文件。

3. 升级OpenSSL扩展 #

检查当前PHP的OpenSSL版本：

php -i | grep "OpenSSL Version"

如果版本低于1.1.1，建议升级到最新稳定版，旧版本对现代TLS协议和加密算法的支持有限。

4. 排查网络环境 #

• 切换到其他网络（如手机热点）测试，若问题消失，说明是当前网络的代理/防火墙导致证书被替换；
• 若必须使用代理，需将代理的CA证书添加到cacert.pem中，或在SSL上下文里配置代理对应的证书。

5. 确认证书文件权限 #

确保PHP进程对cacert.pem有读取权限，可通过以下命令调整：

chmod 644 /path/to/cacert.pem
chown www-data:www-data /path/to/cacert.pem

（www-data为PHP运行的用户，根据实际环境调整）

内容的提问来源于stack exchange，提问作者Constant