如何配置安全的秘钥以供Composer install命令拉取私有库依赖？-composer-PHP中文网

必须用环境变量或auth.json，绝不能写进composer.json或提交到git；composer不加密密钥，硬编码等于公开密码。auth.json默认从项目根目录或~/.composer/auth.json读取，支持http-basic和github-oauth，可被.gitignore隔离；ci中应使用composer_auth环境变量注入并确保不泄露。

如何配置安全的秘钥以供composer install命令拉取私有库依赖？

必须用环境变量或 auth.json，绝不能写进 composer.json 或提交到 Git。 Composer 本身不加密、不管理密钥，它只按规则读取凭证；一旦硬编码或误提交，就等于把服务器密码贴在 GitHub 上。

为什么 `auth.json` 是最常用且可控的方式

Composer 默认从项目根目录或全局 ~/.composer/auth.json 读取认证信息，支持 http-basic 和 github-oauth 两类凭据。它不参与依赖解析逻辑，只在下载阶段被调用，且可被 .gitignore 安全隔离。

auth.json 必须放在项目根目录（或用户主目录），内容格式严格：
```
{"http-basic": {"repo.example.com": {"username": "user", "password": "token"}}}
```
执行 composer config --global http-basic.repo.example.com user token 会自动写入全局 auth.json，适合多项目复用
若私有源是 GitHub 私库，用 "github-oauth": {"github.com": "ghp_xxx..."} 更安全（token 可限 scope）
务必把 auth.json 加入 .gitignore；CI 环境中应删掉该文件，改用环境变量注入

CI/CD 中必须用 `COMPOSER_AUTH` 环境变量

在 GitHub Actions、GitLab CI 或 Docker 构建中，auth.json 文件落地即风险。平台提供的 secrets 注入机制才是唯一合规路径。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

设置环境变量：COMPOSER_AUTH='{"http-basic": {"repo.example.com": {"username": "ci-bot", "password": "xxx"}}}'
确保该变量只在构建 job 中生效，不被缓存或日志输出（GitHub Actions 要开启 mask，GitLab 要设为 protected）
Docker 场景下，避免用 ENV COMPOSER_AUTH=... 写进镜像层——应通过 docker run -e COMPOSER_AUTH=... 运行时注入
验证是否生效：运行 composer install -vvv 2>&1 | grep -i auth，应看到 Using custom authentication，而非 401 Unauthorized

SSH 私钥方式仅适用于 Git 类私有仓库

如果私有包托管在自建 Git 服务（如 Gitea、GitLab Self-Hosted），且你已配置好 SSH 访问，则 Composer 支持直接走 SSH 协议拉取，无需密码或 token。

前提是 ssh -T git@your-git-server.com 能通，且 git ls-remote git@your-git-server.com:group/repo.git 返回 ref 列表
composer.json 中 repositories 必须为 "type": "vcs"，URL 格式为 git@host:group/repo.git（冒号分隔，不是斜杠）
私钥不能带密码，或需提前用 ssh-add 加载；CI 中建议用 ssh-agent + ssh-add 注入
注意：SSH 方式不适用于 type: "composer" 的私有 Packagist 镜像，只对 Git 仓库有效