Composer中config选项下store-auths参数对保存凭证位置的控制（凭据安全）-composer-PHP中文网

store-auths 设为 false 时，composer config 命令不写入 auth.json；无论全局或项目级设为 false，指定用户名密码也不会落地，auth.json 不生成或更新，导致后续 install 报 401 错误。

composer中config选项下store-auths参数对保存凭证位置的控制（凭据安全）

store-auths 设为 false 时，composer config 命令不写入 auth.json

当你执行 composer config http-basic.repo.example.com user pass，Composer 是否把凭证存进 auth.json，取决于 store-auths 的值。默认是 prompt（交互式询问），但如果你全局或项目级设成了 false，命令就直接跳过写入，哪怕你指定了用户名密码也不会落地。

常见错误现象：运行命令后 auth.json 没生成、后续 composer install 报 401 错误，却查不到哪里漏配了凭证——十有八九是 store-auths 被关了。

composer config --global store-auths false → 全局禁用，所有项目都不自动存凭证
composer config store-auths false → 仅当前项目禁用，auth.json 不会被创建或更新
设为 true 或 prompt 才会触发写入逻辑；prompt 会在终端问你“是否保存”，回车默认 yes

store-auths 和 auth.json 存放路径的优先级关系

store-auths 控制的是“要不要写”，但写到哪，由 Composer 的搜索路径决定：先找项目根目录，再找 COMPOSER_HOME（通常是 ~/.composer/），最后系统级目录。它不决定位置，只决定是否执行写操作。

容易踩的坑是以为设了 --global 就一定写进全局 auth.json —— 实际上如果 store-auths 是 false，连全局文件都不会碰。

项目级命令（无 --global）+ store-auths true → 写入项目根目录下的 auth.json
全局命令（带 --global）+ store-auths true → 写入 COMPOSER_HOME/auth.json
两者都设为 true，且项目级 auth.json 已存在 → Composer 仍优先读项目级，但 config 命令默认只改它指定的作用域，不会跨域覆盖

CI/CD 中 store-auths 应该设为什么值

在 CI/CD 环境里，你不该依赖 auth.json 文件落地，而应通过 COMPOSER_AUTH 环境变量传入凭证。此时 store-auths 必须设为 false，否则 composer config 命令可能意外把敏感信息写进工作目录的 auth.json，造成泄露风险。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

典型配置流程：

先运行 composer config --global store-auths false，堵住自动写文件的口子
再通过环境变量注入：export COMPOSER_AUTH='{"http-basic": {"repo.example.com": {"username": "ci", "password": "xxx"}}}'
最后跑 composer install --no-interaction，Composer 会跳过文件读取，直取环境变量

注意：COMPOSER_AUTH 优先级高于任何 auth.json，所以即使 store-auths 是 true，只要环境变量存在，文件内容也不会被读取——但留着 true 仍有风险，因为某次本地调试误执行 config 命令，就可能把 token 写进项目 auth.json 并被提交。