应执行需认证的操作（如composer update）验证是否成功，而非依赖composer config显示结果；掩码输出“*”是正常安全机制，不代表配置失败。
Composer 没有“认证列表”这个概念，github-oauth、http-basic 等认证信息不会被集中列出或枚举；你只能按具体键名查值，且敏感字段在输出中会被星号掩码。
composer config github-oauth.xxx 显示的是星号，怎么确认是否真配置成功？
Composer 对 github-oauth 类字段做了自动脱敏，即使配置正确，composer config github-oauth.github.com 也只会返回类似 *** 的掩码。这不是配置失败，而是安全设计。
- 真正有效的验证方式是执行一个需要认证的操作，比如
composer update或composer show -a vendor/private-package，看是否报401 Unauthorized或404（后者更常见，因私有包不可见） - 用
composer config --source github-oauth.github.com查来源路径，返回~/.config/composer/auth.json说明凭据已写入该文件 - 直接打开
~/.config/composer/auth.json（v2+）或~/.composer/auth.json（v1），检查github-oauth字段是否为合法字符串（非空、无多余引号、无换行）
http-basic 认证为什么 composer config http-basic 不返回任何内容？
http-basic 是嵌套结构，不是扁平键，不能直接查顶层键名。它必须带完整 host 路径，否则 Composer 当作无效查询忽略。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确查法：
composer config http-basic.repo.example.com（替换为你的实际域名） - 如果返回
***，说明凭据存在；如果报错Key "http-basic.repo.example.com" does not exist，就是没配 - 配置时也必须指定 host：
composer config http-basic.repo.example.com username password，不能漏掉域名部分 - 注意：host 必须和仓库 URL 的域名完全一致（含端口），
https://repo.example.com:8080和repo.example.com视为不同 host
认证配置到底存在哪个文件里？
Composer 把认证信息从 config 拆出来，单独存进 auth.json，这是硬性约定，不随 --global 参数改变位置。
- v2+ 默认路径：
~/.config/composer/auth.json - v1 默认路径：
~/.composer/auth.json - 可通过
COMPOSER_HOME环境变量覆盖路径，但auth.json文件名不变 -
composer config --list或--list --global都不会显示auth.json内容，因为它们只读config.json中的config段 - 修改
auth.json后无需 reload，Composer 每次运行都会重新读取
为什么 composer diagnose 有时说 “GitHub API rate limit is low”，但 github-oauth 明明配了？
这通常不是配置没生效，而是 token 权限不足、过期，或被环境变量覆盖。
- 先确认 token 是否有效：用
curl -H "Authorization: token YOUR_TOKEN" https://api.github.com/rate_limit直接测 - 检查是否被环境变量覆盖：
echo $GITHUB_TOKEN（Composer 会优先用此变量，而非auth.json中的） -
composer config --source github-oauth.github.com返回的路径是否真包含有效 token？打开文件手动核对 - token 必须有
read:packages（私有包）或至少public_repo（公开包）权限，仅gist不够
认证配置最易被忽略的点是：它不参与 config --list 的五层合并，也不受命令行参数影响；一旦写进 auth.json 就全局生效，但错误只在真正调用 API 时暴露——所以别依赖“查得到”来判断“能用”。
