Composer的auth存了什么_Composer凭据管理技巧【避坑】-composer-PHP中文网

auth.json顶层只支持http-basic和github-oauth两个字段，其他如token、api-key等均被忽略；域名必须与仓库URL主机名完全一致，字段名username/password大小写敏感且不可拼错。

composer的auth存了什么_composer凭据管理技巧【避坑】

Composer 的 auth.json 只存两类凭据：http-basic 和已弃用但部分旧项目仍在用的 github-oauth；其他字段（比如 token、api-key）会被完全忽略——配了也白配。

auth.json 里能写哪些字段？

它不是自由格式 JSON，顶层只能有这两个 key：

http-basic：用于私有 Packagist、Nexus、Artifactory、GitLab Packages 等所有走 HTTP Basic Auth 的仓库
github-oauth：仅限 GitHub（含 GitHub Enterprise），且 Composer 2.4+ 已标记为 deprecated，新项目应避免使用

常见错误是手写一个带 auth-token 或 access_token 字段的 JSON，结果 Composer 静默跳过整个文件。必须严格按结构来：

{"http-basic": {"repo.example.com": {"username": "token", "password": ""}}}

注意：username 和 password 字段名不能拼错（比如写成 user 或 passwd），大小写敏感；很多私仓（如 Nexus）要求把 token 填进 username，password 留空——这不是 bug，是它们的实现约定。

为什么写了 http-basic 却还是 401？

90% 是域名 key 不匹配。Composer 匹配时只看请求发出时的 Host 头，不解析 URL 路径或协议：

仓库 URL 是 https://pkg.internal.company:8080/api/v1 → key 必须是 "pkg.internal.company"（端口、路径、协议全忽略）
填成 "https://pkg.internal.company"、"www.pkg.internal.company" 或 "pkg.internal.company:8080" 都无效
子域名不继承：api.repo.example.com 和 repo.example.com 必须分别配置

验证是否加载成功：运行 composer config --global --list | grep http-basic，能看到已注册的域名列表；再加 -v 执行 composer install，会输出 Checking http-basic authentication for repo.example.com 行，确认它真在用你配的凭据。

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

怎么安全地管理多个私有仓库凭据？

别反复用 composer config --global http-basic 覆盖——它每次只写一个域名，后写覆盖先写。推荐两种方式：

项目级：在项目根目录执行 composer config --auth http-basic.pkg1.example.com user1 token1（不加 --global），写入 ./auth.json，优先级高于全局，且不影响其他项目
环境变量级（CI/CD 首选）：设 COMPOSER_AUTH='{"http-basic":{"pkg1.example.com":{"username":"token","password":""},"pkg2.internal":{"username":"svc","password":"xxx"}}}'，它优先级最高，且内容由 CI 平台 secret 注入，不落地、不留痕

手动编辑 auth.json 时，务必确保文件权限 ≤600（Linux/macOS），否则 Composer 静默跳过；Windows 上要确认路径是 %APPDATA%\Composer\auth.json，不是随便哪个 .composer 文件夹。