如何用Composer配置Bearer Token认证-composer-PHP中文网

Composer 的 bearer 配置仅用于非 GitHub 私有仓库，必须按 host 精确匹配（如 repo.mycompany.com），且需在 composer.json 中明确定义对应 repository，否则 install 时不会发送 Authorization: Bearer 头。

如何用composer配置bearer token认证

Composer 本身不直接支持标准的 Bearer 认证（即 Authorization: Bearer xxx），但它提供了 bearer 类型的配置项，专用于向**非 GitHub 的私有仓库**（如自建 Packagist、GitLab、Nexus 等）发送带 Authorization: Bearer 头的请求。

composer config bearer.host.example.org 是唯一正确写法

Composer 的 bearer 配置必须按 host 精确匹配，且不能带协议或路径。比如你的私有包源是 https://repo.mycompany.com，那 host 就是 repo.mycompany.com，不是 https://repo.mycompany.com 或 api.repo.mycompany.com。

正确命令：composer config --global bearer.repo.mycompany.com ghp_abc123...
错误写法：composer config --global bearer.https://repo.mycompany.com ...（会静默失败）
错误写法：composer config --global bearer.api.repo.mycompany.com ...（host 不匹配，请求时不会加头）
该配置会写入 ~/.composer/auth.json 的 "bearer" 字段下，格式为：
```
{ "bearer": { "repo.mycompany.com": "ghp_abc123..." } }
```

为什么 composer install 不触发 Bearer 头？检查这三点

配完没效果，大概率是 Composer 根本没走到这个认证分支——它只在访问你明确配置为 repository 的源时才用 bearer，而不是所有 HTTPS 请求都加。

确认 composer.json 中定义了对应源：

"repositories": [{ "type": "composer", "url": "https://repo.mycompany.com" }]

确认包的 composer.json 里 dist.url 或 source.url 域名与 bearer 配置的 host 完全一致（含子域）
运行 composer install -v，看日志是否出现 Using bearer token for repo.mycompany.com；没出现就说明没命中

GitHub 不走 bearer 配置，别混用

GitHub 官方不接受 Bearer 认证方式，它只认 github-oauth（本质是 Authorization: Basic 编码后的 token）。如果你对 github.com 配了 bearer，它完全无效，也不会报错，只是被忽略。

大模型Token成本节约

大模型 Token 成本节约工具。在请求到达大模型之前自动压缩 prompt 和上下文，减少 60-95% 的 token 消耗，直接降低 API 成本。支持 Claude/OpenAI/Gemini 等主流模型，提供代理模式、CLI 包装、Python SDK 和 MCP Server 四种接入方式。内置一键安...

下载

GitHub 必须用：composer config --global github-oauth.github.com your_token_here
GitLab 私有实例可选两种：OAuth token（gitlab-oauth）或 Bearer Token（bearer.gitlab.mycompany.com），看后端 API 实现
若服务返回 401 Unauthorized 且响应头含 WWW-Authenticate: Bearer，才说明它期望 bearer 配置

权限与安全：token 别多给，文件权限别忽略

bearer token 通常由私有仓库服务颁发，权限模型各异，但原则一样：最小够用。

避免使用管理员 token；只要求 read_package 或 api_read 类权限
Linux/macOS 下确保 ~/.composer/auth.json 权限为 600：chmod 600 ~/.composer/auth.json，否则 Composer 会跳过整个文件
Windows 用户注意：PowerShell 会解析 $ 符号，建议用 CMD 运行 composer config 命令，或把 token 用单引号包住：composer config --global bearer.repo.mycompany.com '$TOKEN'

真正容易被忽略的是 host 匹配粒度和 verbose 日志验证——不看 -v 输出，你永远不知道 Composer 到底有没有用上你配的 token。