vault不能直接注入composer环境变量，必须由脚本拉取后导出到shell环境（如export github_token="$(vault kv get -field=token secret/composer/github)"），并禁用shell历史记录；docker构建需用buildkit --secret机制挂载vault密钥，避免落盘或残留镜像层。
Vault 不能直接给 Composer 注入环境变量，也不能自动写入 auth.json 或修改 composer.json。所谓“自动化分发”，本质是让 Vault 成为可信的密钥源，由外部脚本按需拉取、安全落地——跳过任何明文落盘或进程参数泄露环节。
Composer 构建时如何安全获取 Vault 中的 GitHub Token
CI 流水线里执行 composer install 前，必须让 GITHUB_TOKEN 存在于当前 shell 环境中，且不能出现在命令行参数或日志里。
- 不要用
composer config github-oauth.github.com $TOKEN：该命令会把 token 写进auth.json，哪怕只存在临时目录，也违反“不落盘”原则 - 正确做法是用 Vault CLI 拉取后立即导出到环境：
export GITHUB_TOKEN="$(vault kv get -field=token secret/composer/github)" - 必须搭配
set +o history（Bash）或Set-PSReadLineOption -HistorySaveStyle SaveNothing（PowerShell），防止 token 进入 shell 历史 - 如果使用 GitHub Actions，
vault kv get需配合hashicorp/vault-action插件完成登录，且VAULT_ADDR和VAULT_TOKEN必须通过 secrets 注入，不可硬编码
为什么不能在 repositories 配置里写 Vault 地址
Composer 的 repositories 字段只接受静态 URL（如 https://packages.example.com），不支持运行时解析 Vault 地址或带认证的动态路径。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 写
"url": "https://$(vault kv get -field=host secret/mirror)/composer"会直接报错：JSON 解析失败，因为 composer.json 不是 shell 脚本 - 试图用
composer config repo.packagist composer $(vault kv get -field=url secret/mirror)也不行：该命令只支持字面量 URL，Vault 输出若有换行或空格会导致配置损坏 - 真正需要 Vault 参与的，是镜像服务自身的认证凭据（比如 Satis 后端访问 GitLab 私库所需的
PRIVATE-TOKEN），而非 Composer 客户端的源地址
Docker 构建阶段如何避免 Secret 泄露到镜像层
用 BuildKit 的 --secret 机制读取 Vault 密钥，比用 ARG 安全得多——它不会出现在 docker history 里，也不会被缓存命中复用。
- 在
Dockerfile中用RUN --mount=type=secret,id=github_token ...挂载，然后在脚本里cat /run/secrets/github_token获取值 - 挂载前必须确保 Vault 已输出 token 到文件：
vault kv get -field=token secret/composer/github > /tmp/github_token，再传给docker build --secret id=github_token,src=/tmp/github_token - 注意
--secret仅在构建时有效，容器运行时不可见；若需运行时访问 Vault，应改用 Vault Agent 或 init container 方式注入 - 别在
RUN指令里直接调用vault login：Docker 构建环境通常没装 Vault CLI，且 token 会残留在中间镜像层
镜像元数据服务（如 Satis）如何对接 Vault 动态凭证
Satis 本身不支持 Vault 集成，但它的构建脚本可以调用 Vault API 获取短期 Git 访问令牌，从而解决私有包拉取权限问题。
- 在 Satis 构建前执行：
curl -s -H "X-Vault-Token: $VAULT_TOKEN" "$VAULT_ADDR/v1/identity/oidc/token" -d '{"role":"satis-git"}'获取 OIDC token - 将返回的 token 用于
git clone https://oauth2:$TOKEN@gitlab.internal/php/auth-sdk.git，而不是长期凭证 - 必须设置 Vault policy 限制该 token 只能访问指定仓库、只读、有效期 ≤ 1 小时，避免凭证滥用
- 不要把 Vault token 存进 Satis 的
config.json：Satis 配置文件常被提交到代码库，应只存占位符，由 CI 替换
真正难的不是调 Vault API，而是确保每一步都切断明文路径：从 Vault 返回的 token 不能进日志、不能进环境变量历史、不能写文件、不能进 Git、不能进镜像层——只要漏掉一环，整套体系就退化成“用 Vault 管理明文”。
