Composer怎么存认证_Composer认证信息保存方式【详解】-composer-PHP中文网

composer认证信息严禁写入composer.json，须用auth.json或环境变量；auth.json按项目根目录→composer_home→系统级顺序查找；http-basic域名须与仓库主机名完全一致；推荐用composer config命令生成避免json格式错误；ci/cd中应使用composer_auth环境变量传入base64编码的json。

composer怎么存认证_composer认证信息保存方式【详解】

Composer 认证信息不能写进 composer.json，否则等于把密码或 token 提交到 Git——这是最常踩的坑。必须用 auth.json 或环境变量，且优先级、路径、格式错一点就 401。

auth.json 放哪才被 Composer 读到

Composer 按固定顺序查找 auth.json：项目根目录 → COMPOSER_HOME 目录（通常是 ~/.composer/auth.json 或 %APPDATA%\Composer\auth.json）→ 系统级配置目录。它不会扫描子目录，也不认 vendor/auth.json 或 auth.json.dist。

项目级：放在和 composer.json 同一层，仅对该目录下 composer install 生效
全局级：推荐放 COMPOSER_HOME，所有项目共享，避免每个项目重复配
git clone 后忘记 cp ~/.composer/auth.json .？项目级没配又没全局配置，必然失败

http-basic 的域名必须和仓库 URL 主机名完全一致

比如 repositories 里写的是 "https://pkg.internal.company:8080"，auth.json 里的 key 就得是 "pkg.internal.company"（端口不参与匹配），少一个点、多一个 www.、带协议前缀都无效。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

错误示例："https://pkg.internal.company" 或 "www.pkg.internal.company"
正确示例："pkg.internal.company"（哪怕 URL 是 https://pkg.internal.company/api/v1）
运行 composer config --global --list | grep http-basic 可确认是否加载成功

用命令行写比手写 JSON 更安全

手动编辑 auth.json 容易多逗号、少引号、用单引号、加注释——这些都会导致 Composer 完全忽略整个文件。用 composer config 命令由 Composer 自己生成，能规避格式问题，还能自动处理权限（如设为 600）。

项目级写入：composer config http-basic.pkg.internal.company alice topsecret123
全局写入：composer config --global http-basic.pkg.internal.company alice topsecret123
Bearer Token 写法：composer config --global bearer.api.example.com abcdef123456

CI/CD 里别硬编码 auth.json，用 COMPOSER_AUTH

在 GitHub Actions、GitLab CI 这类环境里，往镜像里塞 auth.json 文件既难维护又易泄露。直接用 COMPOSER_AUTH 环境变量传入 base64 编码后的 JSON 字符串，Composer 会自动解码并当 auth.json 用。

值格式必须是合法 JSON 字符串，例如：{"http-basic":{"pkg.internal.company":{"username":"alice","password":"topsecret123"}}}
记得用 echo -n '...' | base64 编码，别漏 -n，否则换行符进去了就解析失败
该变量优先级高于磁盘上的 auth.json，适合临时覆盖或动态注入

最容易被忽略的是：某些私有仓库（比如 Nexus、Artifactory）要求用户名/密码用 Base64 编码后传入 HTTP 头，但 Composer 已经帮你做了——你填明文就行，自己提前编码反而 401。还有，secure-http: false 这种配置如果真要用，必须单独放 config.json，且绝不能出现在公网项目中。