composer 不解析 .env 文件，token 暴露源于将凭据硬编码进 composer.json 或提交 auth.json；正确做法是使用支持环境变量插值的 auth.json（如 "${github_token}"）并配合系统级环境变量或 ci secrets 注入。
Composer 读取 .env 文件时为何 Token 会暴露在 composer.json 中
直接把 auth-token 或 http-basic 凭据硬编码进 composer.json，等于把密码提交到 Git —— 这不是配置问题，是安全事故。Composer 本身不解析 .env，它只认 auth.json 或命令行参数，所以必须靠外部机制注入。
用 auth.json + 环境变量替代明文凭据
Composer 官方推荐的凭据管理方式是 auth.json，但它支持环境变量插值（从 Composer 2.0+ 开始）。只要确保 auth.json 在项目根目录或 COMPOSER_HOME 下，并且内容使用 ${VAR_NAME} 占位：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
{
"http-basic": {
"repo.example.com": {
"username": "${GITHUB_USERNAME}",
"password": "${GITHUB_TOKEN}"
}
}
}
然后在 shell 中导出变量（Linux/macOS）：export GITHUB_TOKEN=ghp_xxx
Windows 命令行用：set GITHUB_TOKEN=ghp_xxx
- 变量名必须全大写、不含点号或特殊字符（否则 Composer 解析失败）
-
auth.json不应提交到版本库，务必加进.gitignore - CI 环境中需显式设置变量（如 GitHub Actions 的
secrets.GITHUB_TOKEN），不能依赖本地.env
为什么不要用 vlucas/phpdotenv 加载到 Composer 流程中
vlucas/phpdotenv 是 PHP 应用层加载环境变量的工具，它对 Composer 安装过程完全无效 —— Composer 在 PHP 运行时之前就完成依赖解析和包下载，此时 $_ENV 还没被 dotEnv 加载。
- 试图在
composer.json的scripts里调用php -r "require 'vendor/autoload.php'; (new Dotenv\Dotenv(__DIR__))->load();"是徒劳的：它不影响 Composer 自身的认证逻辑 - 哪怕你用
composer config --global github-oauth.github.com ${GITHUB_TOKEN}，也仅对当前命令生效，不持久化且无法跨平台传递 - 真正起效的只有
auth.json插值 + 系统级环境变量，或 CI 中预设的 secret 注入
私有仓库 Token 泄露的典型错误场景
常见误操作包括：
把 auth.json 提交到 Git；
在 composer.json 的 repositories 中写死 options.auth.basic；
用 composer config http-basic.repo.example.com user pass 后忘记加 --global 导致写入项目级 auth.json 并被提交。
- 检查是否泄露：
composer config --list | grep auth和cat $(composer config --global home)/auth.json - 重置项目级凭据：
composer config --unset http-basic.repo.example.com - 全局凭据建议只存常用账号（如 GitHub），私有仓库尽量用 per-repo 的
auth.json+ 变量隔离
环境变量注入看似简单，但变量作用域、大小写敏感、CI 配置顺序这些细节，才是实际踩坑最多的地方。
