答案：推荐使用composer config http-basic.domain user pass命令配置，自动写入并校验auth.json。项目级不加--global，全局级需添加，密码含特殊字符须用单引号包裹，域名须与仓库url主机名完全一致。
直接用 composer config 命令写入，比手动编辑 auth.json 更安全、不易出错，也自动处理 base64 编码和 JSON 格式校验。
怎么用命令行添加 http-basic 认证
这是最推荐的方式，尤其适合 CI/CD 或临时调试。Composer 会自动把凭据写进对应层级的 auth.json，并确保字段名、嵌套结构、JSON 合法性都正确。
- 项目级（只对当前项目生效）：
composer config http-basic.packages.example.org deploy abc123 - 全局级（所有项目生效）：
composer config --global http-basic.packages.example.org deploy abc123 - 密码含
$、!、@等 shell 特殊字符时，必须用单引号包裹：composer config http-basic.repo.example.com user 'p@ss$w!rd' - 执行后可用
composer config --list | grep http-basic（项目级）或composer config --global --list | grep http-basic（全局）验证是否写入成功
auth.json 放哪儿才真正生效
Composer 查找 auth.json 有严格顺序，找到即停，不会合并多个文件。放错位置是“配了却没用”的最常见原因。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 最高优先级：项目根目录下的
auth.json（和composer.json同级），仅影响本项目 - 次高优先级：用户主目录下的
auth.json，路径取决于系统和 Composer 版本：
Linux/macOS 通常是~/.composer/auth.json或~/.config/composer/auth.json；Windows 是%APPDATA%\Composer\auth.json - 注意权限：Linux/macOS 下，全局
auth.json文件权限必须 ≤600（chmod 600 auth.json），否则 Composer 会静默忽略 - CI/CD 中别硬编码：应通过 secrets 注入环境变量，再用脚本动态生成
auth.json，避免凭据泄露
为什么填了还是 401 Unauthorized
不是配置没生效，就是认证信息不匹配。Composer 不会报具体失败原因，只能靠排查逻辑链。
- 域名必须完全一致：比如
https://repo.example.com和https://api.repo.example.com要分别配置，不支持通配符或子路径继承 - 字段名不能错：
http-basic是顶层键，子对象里必须是username和password，写成user或passwd都无效 - 某些私仓（如 Nexus、Artifactory）要求把 token 填在
username字段，password留空——这不是 bug，是它们的实现方式 - GitHub 私包需用 fine-grained token，且至少勾选
read:packages；GitLab 需确认 token 绑定的 group/project 权限足够，并启用apiscope
cafile 配置和 auth.json 是两回事
遇到 “Could not fetch https://…: SSL certificate problem” 或 “Failed to decode response: Syntax error”，常被误认为是认证问题，其实是证书校验失败。它和 auth.json 完全无关，要单独处理。
- 项目级：在
composer.json的config段加"cafile": "/path/to/ca-bundle.crt" - 全局级：
composer config --global cafile "/path/to/ca-bundle.crt" - 更底层方式：改 PHP 的
php.ini，设openssl.cafile或curl.cainfo，影响所有 PHP 进程
真正容易被忽略的是域名精确匹配和文件权限控制——哪怕凭据全对，auth.json 权限是 644 或域名少了个 www.，都会静默失败。调试时先用 composer config --list 确认凭据已加载，再检查请求 URL 的 host 是否一字不差。
