Composer提示认证失败次数过多_重置凭证存储文件auth.json【安全设置】-composer-PHP中文网

认证失败次数过多是因 composer 读取了错误、过期或权限不合法的 auth.json，导致反复提交无效凭据被服务端拒绝；需按顺序清除缓存、删除所有 auth.json、用 composer config 重建配置，并确保凭证类型、字段名、域名严格匹配平台要求。

composer提示认证失败次数过多_重置凭证存储文件auth.json【安全设置】

认证失败次数过多不是限流或封禁，而是 Composer 读取了错误、过期或权限不合法的 auth.json，导致反复尝试无效凭据被服务端拒绝（如 GitHub 返回 403 或 GitLab 返回 401+rate limit header）。重置 auth.json 是最直接有效的解决方式，但必须同步清理缓存和校验位置。

auth.json 文件位置错乱导致反复失败

Composer 查找 auth.json 有严格优先级：项目根目录 → $COMPOSER_HOME/auth.json（Linux/macOS 是 ~/.composer/auth.json，Windows 是 %APPDATA%\Composer\auth.json）。常见问题包括：

误把全局凭据写进项目根目录的 auth.json，结果只对当前项目生效，其他项目仍失败
项目根目录存在 auth.json，但权限是 644，Composer 静默跳过（要求 ≤600）
Docker 或 CI 环境中挂载了旧的 auth.json，路径看似正确，实则内容已失效
多个环境共用同一 $COMPOSER_HOME 目录，但凭据混用（比如开发机和 CI agent 共享 ~/.composer）

重置前必须确认凭证类型和平台要求

不同平台对 Token 的字段名、存放位置、scope 权限要求完全不同，填错等于没填：

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

GitHub 私有仓库必须用 github-oauth 字段，且值为 classic token（带 repo scope）或 fine-grained token（至少含 read:packages）；填进 http-basic 里完全无效
GitLab 私有包推荐用 gitlab-token 字段，值为 glpat-xxx；若走 http-basic，username 填 token，password 必须为空字符串
Nexus/Artifactory 等私有 Packagist 一律走 http-basic，但 username 是 API key，password 留空 —— 不是 bug，是它们的 Realm 实现方式
域名必须完全匹配：仓库 URL 是 https://gitlab.example.com，auth.json 里就不能写 https://gitlab.example.com/api/v4 或 gitlab.example.com/（尾部斜杠也不行）

执行重置的三步操作（顺序不能错）

重置不是简单删文件，要清除所有残留状态：

先运行 composer clear-cache —— 否则旧认证头可能仍被缓存复用
再删除所有可能存在的 auth.json：rm -f ./auth.json ~/.composer/auth.json（Windows 用 del %APPDATA%\Composer\auth.json）
最后用命令式配置重建（比手写 JSON 更安全）：
composer config --global http-basic.gitlab.com your-username your-token
composer config --global github-oauth.github.com ghp_xxx

CI/CD 中 auth.json 不能“重置”，只能动态注入

在 GitHub Actions、GitLab CI 等环境中，auth.json 文件本身不应存在。每次构建都应通过环境变量注入凭证：

GitHub Actions 示例：

- name: Configure Composer auth<br>  run: composer config http-basic.packagist.example.com ${{ secrets.PACKAGIST_USER }} ${{ secrets.PACKAGIST_TOKEN }}

GitLab CI 示例：

before_script:<br>  - composer config http-basic.gitlab.example.com $CI_REGISTRY_USER $CI_REGISTRY_PASSWORD

绝对不要在 CI 脚本里生成 auth.json 文件并提交到镜像或缓存中 —— 凭据会残留且难以轮换

真正容易被忽略的是：Composer 不报错提示 “auth.json 未加载”，它只会静默跳过权限不合法或路径不对的文件，然后继续用空凭证请求，最终表现为“认证失败次数过多”。验证是否生效，最简单的办法是加 -v 参数跑一次 composer install，看输出里有没有 Reading authentication information from ... 这一行。