composer 的 auth.json 绝对不能提交到 git，因其存储私有包仓库的敏感凭证；应删除项目级 ./auth.json，改用全局配置并添加 auth.json 到 .gitignore。
Composer 的 auth.json 绝对不能提交到 Git —— 它里面存的是私有包仓库的账号、密码或令牌，一旦泄露，等于把公司私有包的门钥匙贴在 GitHub 上。
为什么 auth.json 会进 Git？
因为很多人直接在项目根目录运行 composer config --auth http-basic.packagist.example.com username password，这条命令默认生成的 auth.json 就落在当前项目下（即 ./auth.json），而项目根目录通常没被 .gitignore 覆盖，一执行 git add . 就顺手带进去了。
- Composer 默认优先读取项目级
auth.json（./auth.json），其次才是全局（~/.composer/auth.json） - 项目级配置看似方便，实则极不安全：它会随代码一起克隆、打包、CI 构建，甚至可能被误传到公开镜像里
- CI 环境里如果用项目级
auth.json，还得额外做文件注入，反而更麻烦
正确做法：只用全局 auth.json + .gitignore 双保险
把认证信息彻底移出项目目录，全部交给 Composer 全局配置管理；再用 .gitignore 做兜底防护。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 删掉项目里的
./auth.json：rm -f auth.json - 改用全局配置（推荐）：
composer config --global --auth http-basic.packagist.example.com username password - 确认生效：
composer config --global --list | grep auth，看到对应条目即可 - 在项目根目录
.gitignore中追加一行：auth.json（哪怕暂时没这个文件，也得加——防手误） - 如果团队用私有 Packagist 或 Satis，确保所有开发者都配了相同的全局
auth.json，而不是靠项目文件同步
CI/CD 场景下怎么安全传令牌？
CI 环境没有交互终端，不能手动输密码，也不能硬编码到脚本里。必须用环境变量 + 动态写入全局 auth.json。
- GitHub Actions 示例：
composer config --global --auth http-basic.packagist.example.com ${{ secrets.PACKAGIST_USER }} ${{ secrets.PACKAGIST_TOKEN }} - GitLab CI 示例：
composer config --global --auth http-basic.packagist.example.com "$PACKAGIST_USER" "$PACKAGIST_TOKEN"
- 绝对不要用
echo '{...}' > ~/.composer/auth.json这种方式——容易残留明文、权限错误、JSON 格式错位 - CI 中执行完
composer install后，~/.composer/auth.json不会被上传或缓存，天然隔离
常见错误现象和排查点
遇到私有包拉取失败，别急着重试，先看是不是 auth.json 没起作用。
- 错误信息是
Could not fetch https://packagist.example.com/packages.json, enter your token:？说明 Composer 根本没读到有效凭证 - 运行
composer config --list和composer config --global --list对比，确认认证项出现在 global 下，且域名拼写完全一致（含端口、协议） - 检查
~/.composer/auth.json文件权限：chmod 600 ~/.composer/auth.json，否则 Composer 会拒绝读取 - 私有仓库用 HTTPS Basic Auth，但实际返回 401 时 Composer 有时只报 “invalid credentials”，其实可能是用户名/密码里有特殊字符没被 URL 编码 —— 换成 Personal Access Token 更稳
最常被忽略的一点：很多人以为只要 .gitignore 里写了 auth.json 就万事大吉，但忘了它只对“还没被 Git 跟踪”的文件生效。如果之前已经 git add auth.json 过，那它还在 Git 历史里，得用 git rm --cached auth.json 清除索引，再 commit 才真正脱敏。
