Composer提示超出API限制时的GitHub Token配置方法（步骤）-composer-PHP中文网

配了token仍报403或429，主因是环境未对齐：token类型须为classic且勾选repo，host名必须严格匹配github.com，权限位600，配置用户与运行用户一致，ci需用secrets安全注入。

composer提示超出api限制时的github token配置方法（步骤）

配了Token却仍触发限流，几乎都不是Token写错了，而是环境没对齐。Composer只在满足全部条件时才真正带上Authorization: Bearer头：

执行composer config --global github-oauth.github.com <token></token>的用户，必须和运行composer install的是同一个用户（CI里常见root配、www-data跑）
~/.composer/auth.json（Linux/macOS）或%APPDATA%\Composer\auth.json（Windows）权限必须是600，否则Composer静默忽略该文件
项目根目录下若存在auth.json，它会覆盖全局配置——用composer config --list确认实际生效位置
公司代理或防火墙可能剥离Authorization请求头；可用curl -H "Authorization: token <your_token>" https://api.github.com/rate_limit</your_token>单独验证是否通

Composer目前（2026年中）不兼容fine-grained token，哪怕权限全开也会静默失败。必须用classic类型：

batch-git-url-replace

批量替换指定目录下所有 Git 仓库的远程地址（remote URL）。当用户需要将 Git 仓库从一个服务器迁移到另一个服务器时使用。触发词：git remote 替换、git url 批量修改、git 仓库迁移、更换 git 地址、批量修改 remote url。

下载

Composer内部做域名匹配，只认你配置的host名，不自动继承子域。写错就等于没配：

正确命令：composer config --global github-oauth.github.com <your_token></your_token>
错误写法：github-oauth.api.github.com、github-oauth.www.github.com、漏掉github.com部分
验证是否写入成功：composer config --global --list | grep github-oauth，应看到github-oauth.github.com条目
若已错配，先删掉：composer config --global --unset github-oauth.api.github.com，再重配

CI里不能把Token写死在脚本或composer.json里，否则泄露风险极高：

GitHub Actions直接用${{ secrets.GITHUB_TOKEN }}（注意：不是个人Token，是Actions自动提供的临时token）
命令写成：composer config github-oauth.github.com "${{ secrets.GITHUB_TOKEN }}"（不加--global，避免污染runner全局配置）
其他CI平台（如GitLab CI、Jenkins）需通过安全环境变量传入，再用composer config github-oauth.github.com "$GITHUB_TOKEN"
绝对不要用echo $TOKEN | composer config ...，会留在shell history里

实际生效的关键点很窄：Token类型对、权限对、host名对、权限位对、用户对、环境变量对。少一个，composer install就继续走每小时60次的匿名通道。