Composer怎么配置Token访问私有包_Composer Token认证设置方法【实用】-composer-PHP中文网

composer 不支持项目级 composer.json 中的 gitlab-token 或 github-oauth 配置，仅认全局 auth.json、composer_auth 环境变量或 ssh 密钥；http-basic 域名须与仓库 url 完全一致（含端口、子域），且 auth.json 权限需为 600；composer_auth 必须是合法 json 格式，gitlab 要求 password 非空，github 则不适用该机制；vcs 仓库 url 必须以 .git 结尾；仅用户级 personal access token 有效，项目级 token、ci_job_token、deploy token 均不被支持。

composer怎么配置token访问私有包_composer token认证设置方法【实用】

Composer 本身不认 gitlab-token 或 github-oauth 这类配置项在项目级 composer.json 里——写了也白写，还会造成明文泄露。真正起作用的只有三处：全局 auth.json、COMPOSER_AUTH 环境变量、或 SSH 密钥体系。

为什么 `composer config http-basic` 配了还是 401？

常见错误是域名没对齐。比如仓库 URL 是 https://gitlab.example.com/group/pkg.git，那必须执行：

composer config --global http-basic.gitlab.example.com token ""

填 gitlab.com、example.com 或漏掉端口（如 gitlab.example.com:8080）都会失败。验证方式是：

运行 composer config --global --list | grep http-basic，确认输出里有完全匹配的 key
检查 ~/.composer/auth.json 文件权限是否为 600，否则 Composer 拒绝读取
如果用了自建 GitLab，auth.json 里的 host 名必须和浏览器访问地址一字不差（含协议、端口、子域）

`COMPOSER_AUTH` 环境变量怎么写才合法？

这个变量值不是 key=value 字符串，而是完整、无换行、双引号包裹的 JSON，且必须符合 Composer 认证结构：

{"http-basic":{"gitlab.example.com":{"username":"token","password":"glpat-xxx"}}}

注意以下几点：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

password 字段不能空着（GitLab 要求），但 Private Packagist 要求 password 为空字符串 ""
GitHub 不走 http-basic，它用 github-oauth 结构，所以 COMPOSER_AUTH 对 GitHub 无效
GitLab CI 中，直接在 .gitlab-ci.yml 的 variables 下写该 JSON；GitHub Actions 则用 Secret 存整段字符串，别只存 token
CI 工作流中，避免用 echo 命令生成 auth.json，日志可能捕获明文

vcs 类型仓库必须显式声明 `.git` 后缀

当 composer.json 的 repositories 里 type 是 vcs，但 URL 不以 .git 结尾，Composer 会误判为 dist 源，然后尝试调用 GitLab API 下载 zip 包——这必然失败，因为私有库默认禁用匿名 API。

正确写法只有这一种：

{
  "repositories": [
    {
      "type": "vcs",
      "url": "https://gitlab.example.com/group/project.git"
    }
  ]
}

如果用 Deploy Token，不要硬编码进 composer.json，而应通过 COMPOSER_AUTH 注入，或在 CI 中用 sed 替换占位符（如 https://oauth2:${GITLAB_TOKEN}@gitlab.example.com/...）。

GitHub 和 GitLab 的 token 权限不能混用

GitHub PAT 必须勾选 repo（读私有仓库），read:packages 只用于 GitHub Packages Registry；GitLab PAT 必须勾选 read_repository，光有 api 或 read_user 会导致 401 且错误信息极不明确。

容易被忽略的是：GitLab 的项目级 token、CI_JOB_TOKEN、Deploy Token 全都不被 Composer 支持——只认用户级 Personal Access Token，且必须由目标用户本人生成并授权。