如何应对GitHub API请求频率限制？通过镜像拉取Composer包！-composer-PHP中文网

必须配置github personal access token，因未认证api请求每小时仅限60次，镜像不代理api.github.com请求；需执行composer config --global github-oauth.github.com 并设auth.json权限为600。

如何应对github api请求频率限制？通过镜像拉取composer包！

composer install 报 rate limit exceeded 或 403 Forbidden，不是镜像没配好，而是 GitHub API 请求根本没走镜像——必须配 github-oauth.github.com Token，否则换任何镜像都救不了。

镜像（如阿里云、腾讯云）只代理 packagist.org 的元数据和 ZIP 包下载，不代理 api.github.com 的任何请求。只要你的依赖涉及以下任一情况，Composer 就会直连 GitHub API，触发限流：

这些场景下，Composer 会调用 /repos/{owner}/{repo}/tags、/commits 等接口——镜像完全不接管，也压根不走镜像 URL。

未认证请求每小时仅 60 次，认证后升至 5000 次。这是唯一能绕过限流的手段，其他全是辅助。

Github Auto

管PR、盯Issue、跑CI、发Release——GitHub仓库日常运维扔给它。少开几个Chrome标签页。

下载

生成 Token 时，至少勾选 repo（public_repo 不够，访问 fork 库或组织库会失败）
配置命令必须是：composer config --global github-oauth.github.com <your_token></your_token>（注意域名是 github.com，不是 api.github.com）
验证是否生效：composer config --global github-oauth.github.com 应输出掩码后的 token 前几位；加 -v 运行 composer install，日志中出现 Using GitHub token from configuration 才算真正启用
Linux/macOS 下检查 ~/.composer/auth.json 权限：chmod 600 ~/.composer/auth.json，否则 Composer 静默忽略

单独换镜像能加速公开包的元数据拉取和 ZIP 下载，但解决不了 GitHub API 限流；单独配 Token 能解限流，但在国内网络下仍可能因 TLS 握手失败、DNS 不稳或 CDN 超时导致卡住。

推荐组合：先配 Token，再切镜像（如阿里云）：composer config --global repo.packagist composer https://mirrors.aliyun.com/composer/
注意：镜像不加速原始代码下载（zipball），最终 download 阶段仍可能走 GitHub —— 所以 Token 必须存在
CI 环境不要硬编码 Token，用环境变量注入：COMPOSER_AUTH='{"github-oauth":{"github.com":"xxx"}}'

很多人明明配了 Token 却还报错，问题往往不在 Token 本身，而在执行上下文或权限细节：

运行 composer install 的用户 ≠ 执行 composer config --global 的用户（比如用了 sudo 或切换了系统账户）
项目根目录下存在 auth.json，覆盖了全局配置；可用 composer config --list --global | grep github 确认生效位置
PHP 禁用了 curl 或 SSL 验证失败（尤其旧版 CentOS），导致认证请求发不出去
Token 是 fine-grained 类型且已过期（classic token 默认永不过期，但 fine-grained 有明确有效期）

最简验证方式：composer diagnose 显示 GitHub API: OK 才算真正通了——别只看配置命令有没有报错。