composer本身不提供用户级权限管理，所有权限控制必须由底层仓库服务（如gitlab、private packagist）或网络层（如nginx/acl）实现；它仅传递凭证并解析元数据，不校验用户权限或拦截require操作。
Composer 本身不提供用户级权限管理，所有权限控制必须由底层仓库服务（如 GitLab、Private Packagist、Satis）或网络层（如 Nginx/ACL）实现；Composer 只负责传递凭证并解析包元数据。
为什么直接在 composer.json 或 config.json 里配不了“用户权限”
Composer 的 repositories 和 auth.json 只做两件事：告诉它“去哪找包”和“用什么头请求”。它不校验谁有权限安装 your-vendor/payment-sdk，也不拦截某人 require 某个包——这些全靠你对接的仓库服务返回 HTTP 状态码（比如 401/403）来拒绝。
- 写错
http-basic域名（比如写成https://gitlab.example.com而不是gitlab.example.com），Composer 就不会带认证头，结果是 404 或 403，但错误信息里不提示“认证没发”，只报Could not find package - 把
github-oauth错写成gitlab-oauth，Composer 完全忽略该字段，静默跳过认证 - 多个私有 Git 域名必须作为独立键写进
auth.json的http-basic对象里，不能合并或嵌套
多用户场景下 auth.json 怎么安全分发
全局 ~/.composer/auth.json 是最危险的位置——一旦泄露，等于交出所有私有仓库访问权。生产环境应避免用全局配置。
- 项目根目录放
auth.json（优先级高于全局），CI/CD 流水线用 secrets 注入，本地开发用composer config --auth写入项目级配置 - Git 不允许提交明文 token，所以
auth.json必须加到.gitignore；团队可提供模板auth.json.dist，说明字段格式和平台要求 - GitLab 用户 token 应使用
glpat-开头的 Personal Access Token，并仅勾选read_repository权限；不要用账号密码 - GitHub token 必须含
reposcope，且字段名严格为github-oauth，写成gh-token无效
如何让不同部门只能拉指定包（比如财务组不能装 devops 工具）
这一步完全不在 Composer 层面解决。需要仓库服务支持包级 ACL：
- Private Packagist 提供 Web 界面，可为每个包设置 team-level read 权限，还能限制
require关系（比如禁止 A 包依赖 B 包） - GitLab 自建实例可通过 Group → Settings → Permissions 设置成员角色，再配合 Composer 的
vcs类型仓库（每个包一个独立 Git URL），自然隔离 - Satis 是静态生成，没有运行时鉴权；若需包级控制，得在 Web 服务器层加逻辑，比如 Nginx 根据请求路径 + 请求头中的 token 做路由拦截
- 绝对不要靠改
composer.json的repositories数组来“隐藏”包——只要 URL 可访问，别人手动 curl 就能下载 zip
常见踩坑点：认证生效但安装仍失败
现象是 composer install 卡住或报 Failed to download vendor/private-pkg，但 curl -v -u user:token https://repo.example.com/packages.json 能成功返回。这时候问题往往不在 Composer 配置本身：
- 私有仓库返回的
packages.json中，某个包的dist.url指向了另一个域名（比如 CDN 域名），而该域名没在auth.json里配http-basic - GitLab 启用了 2FA，但 token 没开
read_api权限，导致 Composer 能 fetch info 却无法 clone - 公司代理或防火墙拦截了
User-Agent: Composer/2.x，需在config.json里设user-agent覆盖 -
minimum-stability设为stable，但私有包只有dev-main分支，没打 tag，结果找不到匹配版本
真正难的不是配对 credential，而是让所有环节（Git 服务、反向代理、CDN、Composer 插件）对同一个包的每一次 HTTP 请求都携带正确且被信任的认证头——中间任何一环断掉，错误就静默吞掉，只剩一句模糊的 “Could not find package”。
