auth.json不能加密，必须放全局路径、设600权限、禁用git同步；它只本地读取，不走镜像，误提交需用git filter-repo清除历史。
auth.json 不能加密，也不该被“加密”——它必须放在正确位置、设对权限、绕过 Git，这才是中文环境下真正有效的安全加固。
auth.json 为什么不能走 Composer 镜像或 Git 同步
镜像源（如阿里云、腾讯云）只代理 packages.json 和元数据请求，auth.json 是纯本地文件，在 composer install 最初阶段就被读取完毕，根本不会发 HTTP 请求。所以无论你配了多少镜像，auth.json 的内容、路径、权限都完全不受影响。
把它提交进 Git，等于把私有仓库 token 直接暴露给所有人；用镜像“同步”它，是误解了镜像的作用边界。
- 检查是否误提交：
git status | grep auth.json或git log --oneline --grep="auth" - 若已提交，必须用
git filter-repo彻底清除历史记录，不能只删文件 - 确认当前生效路径：
composer config -g home，正常应输出~/.composer（Linux/macOS）或%APPDATA%\Composer（Windows）
中文环境下的 auth.json 安全落点：位置 + 权限 + 环境变量替代
中文开发者常因路径习惯或 IDE 自动补全，把 auth.json 放在项目根目录，这是最大风险源。正确做法是强制使用全局路径，并确保权限收紧。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 删掉项目根目录下的
./auth.json（如有） - 用命令写入全局位置：
composer config -g http-basic.gitlab.example.com username token123（自动写入~/.composer/auth.json并设基础权限） - 立即加固权限：
chmod 600 ~/.composer/auth.json（Linux/macOS）；Windows 下需右键属性 → 安全 → 移除“继承权限”，仅保留当前用户 - 若团队共用凭据（如 CI 公共 token），禁用
auth.json，改用环境变量：export COMPOSER_AUTH='{"http-basic": {"myrepo.example.com": {"username": "ci", "password": "xxx"}}}'
CI/CD 中动态生成 auth.json 的实操要点
GitHub Actions、GitLab CI 等平台不支持交互式输入，也不能把 auth.json 文件硬塞进仓库。必须运行时生成，且生命周期仅限当前 job。
- GitHub Actions 示例：
echo '{"http-basic": {"gitlab.example.com": {"username": "gitlab-ci-token", "password": "${{ secrets.GITLAB_TOKEN }}"}}}' > ~/.composer/auth.json - GitLab CI 注意路径：
mkdir -p $HOME/.composer && echo '{...}' > $HOME/.composer/auth.json - 绝对禁止：
cp ~/local/auth.json ~/.composer/auth.json或 base64 解码——日志、缓存、runner 临时盘都可能残留明文 - 执行后加验证：
ls -l ~/.composer/auth.json确认权限为-rw-------，且内容无敏感字段回显
容易被忽略的跨设备共享陷阱
中文团队常把 ~/.composer 打包进 dotfiles 仓库、或用 rsync 同步开发机，这等于批量分发凭证。真正的跨设备等效访问，必须可审计、可撤销。
- 开发机之间：用
composer config -g逐台写入，token 从密码管理器复制，避免粘贴到终端历史（命令本身不回显 token） - CI/CD 环境：全部走平台 secret 注入，Docker 构建用
--env COMPOSER_AUTH=...，而非COPY文件 - 禁止行为：
rsync ~/.composer/auth.json、scp ~/.composer、tar -cf dotfiles.tar ~/.composer - 额外检查：
ls -ld ~/.composer，若属主不是当前用户，立刻执行sudo chown -R $USER:$USER ~/.composer
真正危险的不是文件没加密，而是它出现在不该出现的地方、权限宽松、被 Git 跟踪、或通过不可控方式跨设备流转。每一步操作都要回答：这个 token 是否能被非授权方轻易读取？是否具备最小必要权限？是否可快速撤销？
