为什么执行Composer install频繁报错？GitHub API限制解锁教程-composer-PHP中文网

配github personal access token可将api限额从60次/小时提升至5000次/小时，解决composer install卡在“resolving packages”并报403的问题，关键需正确生成token（勾选repo权限）、执行composer config --global github-oauth.github.com 、设置auth.json权限为600，并验证composer diagnose显示github api: ok。

为什么执行composer install频繁报错？github api限制解锁教程

直接配 GitHub Personal Access Token 就行，不配就永远卡在每小时 60 次的匿名限额里。

为什么 `composer install` 卡在 “Resolving packages” 并报 403

Composer 在解析 dev-master、dev- 开头的分支、私有仓库 tag 列表，或依赖里含 fork 后没改 "source" 的包时，会密集调用 https://api.github.com/。这些请求默认不带认证头，GitHub 就当你是“匿名游客”，按 IP 限流：每小时最多 60 次——跟换机器、清缓存、重装 Composer 都无关。

哪怕你只装一个包，只要它依赖 5 个 GitHub 上的 dev 分支，就可能直接耗尽额度
公司/学校共享出口 IP？那 60 次是大家共用的，更容易撞墙
错误高发于 CI 环境反复重试、composer create-project 或 composer update 拉取大量开发版依赖时

怎么用 `composer config --global github-oauth.github.com` 配 token

配一个 GitHub Personal Access Token，就能把限额从 60 升到 5000 次/小时。关键是两步都得做对，缺一不可：

openclaw-gitcode-pr-monitor

监控一个或多个 GitCode 仓库的 PR，通过 OpenClaw Gateway 自动执行 AI 审查，发布 PR 评论，并发送钉钉和企业微信通知。

下载

去 https://github.com/settings/tokens/new 新建 token，勾选 public_repo（公开项目够用，不用给 admin:org 或 delete_repo）
执行 composer config --global github-oauth.github.com <token></token>，token 会写进 ~/.composer/auth.json
立刻检查权限：chmod 600 ~/.composer/auth.json——权限不是 600，Composer 会静默忽略该文件，退回到未认证状态
验证是否生效：composer diagnose 输出里看到 GitHub API: OK 才算真正通了

`composer config --global` 配了却还报限速？常见失效场景

Token 配了 ≠ 生效。以下情况会让 Composer 继续走未认证通道：

运行 composer install 的用户和执行 composer config --global 的不是同一个（比如用 sudo 安装，但 config 是普通用户配的）
项目根目录下存在 auth.json，它会覆盖全局配置；用 composer config --list 查看实际生效位置
token 已被 GitHub 删除或过期（classic token 默认永不过期，但 fine-grained token 有明确有效期）
PHP 禁用了 curl 或 SSL 验证失败（尤其某些旧版 CentOS），导致 Authorization 头根本发不出去
别混淆 Packagist Token 和 GitHub Token

验证 token 是否真被 Composer 使用

光看 composer config --global github-oauth.github.com 输出前几位没用，得确认请求实际带了头：

运行 composer install -v，日志中出现 Using GitHub token from configuration 才算真正启用
手动触发一次 API 请求验证：curl -H "Authorization: token <your_token_here>" https://api.github.com/rate_limit</your_token_here>，检查返回中的 rate.limit 字段：若为 5000，说明 token 有效；若仍是 60，说明请求未携带 token 或 token 无效

最容易被忽略的是 ~/.composer/auth.json 权限和多用户环境下的配置归属——这两个点一错，token 就等于没配。