Composer企业私有源租户隔离设计-composer-PHP中文网

关键靠http层路由鉴权：通过子域名或路径前缀区分租户，后端动态过滤包列表并重写dist.url，auth.json用bearer token透传租户上下文，禁止跨租户共享composer.lock。

composer企业私有源租户隔离设计

私有源如何让不同租户看到不同的包列表

关键不是靠 Composer 本身，而是靠 HTTP 层做路由和鉴权。Composer 客户端只认 composer.json 里的 repositories URL，它不理解“租户”概念。所以必须让每个租户请求的 URL 路径或 Host 不同，后端据此区分权限。

常见做法是用子域名（如 tenant-a.repo.example.com）或路径前缀（如 https://repo.example.com/tenant-b/）。Nginx 或 API 网关根据这些信息转发到对应租户的包索引服务，或动态过滤数据库查询结果。

避免用 query 参数（如 ?tenant=id123），因为 Composer 会缓存 URL，导致缓存污染
不要在 Composer 插件里硬编码租户逻辑——插件运行在开发者本地，无法安全获取租户上下文
如果用 Satis 或 Private Packagist，它们原生不支持租户隔离，需在其前端加一层代理服务

packagist.org 镜像 + 租户白名单怎么配

不能直接复用官方镜像服务，因为它的 packages.json 是全局聚合的。你需要一个能按租户重写元数据的服务层，把上游镜像的包列表过滤后再返回。

典型流程：租户 A 请求 /packages.json → 后端拉取原始镜像的 packages.json → 根据租户白名单（存在 DB 或配置文件中）剔除未授权包 → 返回精简后的 JSON，并重写所有 dist.url 和 source.url 指向租户专属 CDN 或存储路径。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

务必重写 dist.url，否则 Composer 下载时会绕过你的鉴权直接连上游
白名单建议用 vendor 名称（如 acme/*）而非完整包名，便于管理
缓存策略要按租户维度隔离，比如用 Cache-Control: private, max-age=3600 + Vary: Host

auth.json 怎么适配多租户认证

Composer 的 auth.json 只支持静态 token 或 HTTP Basic，不支持运行时换 token。所以租户认证必须前置——要么让每个租户有自己的 auth.json 文件，要么用 OAuth2 bearer token 并在请求头透传。

推荐方案：在私有源反向代理层校验 Bearer Token，从 JWT payload 提取 tenant_id，再查策略库判断该租户能否访问当前请求的包。这样 auth.json 里只需填一个通用 token，实际权限由后端动态控制。

不要把租户 ID 写进 auth.json 的 token 字段——token 应该是无状态的，租户上下文由服务端解析
若用 Basic Auth，用户名格式可设计为 tenant-a:api-token-xxx，后端按冒号拆分
本地开发时，auth.json 的 http-basic 块必须匹配你私有源的域名，否则 Composer 根本不发认证头

为什么 packagist-type repo 无法实现租户级版本覆盖

因为 Composer 的依赖解析器在 lock 文件生成阶段就已固定所有包的 version→dist hash 映射，而这个映射来自 packages.json。如果你在租户 A 的源里把 monolog/monolog v2.9.1 指向内部 patch 版本，但租户 B 的源里指向官方原版，那么当两个租户共用同一份 composer.lock 时，Composer 会报 hash mismatch 错误。