Composer怎么为团队开发规范设置统一的权限模板-composer-PHP中文网

composer权限混乱主因是凭证管理错位：全局/项目级/cicd认证混用、auth.json路径错误或未设chmod600、字段名与域名不匹配；gitlab须用gitlab-token而非http-basic；ci/cd必须用composer_auth环境变量；packagist.org需在composer.json根层设"packagist.org":false。

composer怎么为团队开发规范设置统一的权限模板

团队里 Composer 权限混乱，根本不是权限数字设得不对，而是没分清“谁在操作”和“对谁设权”——全局认证、项目级认证、CI/CD 凭据三者混用，auth.json 被提交进 Git，或者 chmod 600 没执行，结果就是有人能装包、有人 401、有人本地通 CI 上失败。

auth.json 放哪、怎么写才不被忽略

Composer 只认两个位置的 auth.json：Linux/macOS 是 ~/.composer/auth.json，Windows 是 %APPDATA%\Composer\auth.json。放错路径（比如丢进项目根目录或 ~/.config/composer/）等于没配，而且它不会报错，只会静默跳过。

chmod 600 ~/.composer/auth.json 必须执行，否则 Composer 直接忽略该文件
字段名只能是 http-basic，写成 gitlab-token 或 access_token 都无效（GitLab 私有仓库除外，见下条）
域名 key 必须和 repositories.url 的 host 完全一致，包括端口（repo.example.com:8080 ≠ repo.example.com）

GitLab 私有仓库要用 gitlab-token，不是 http-basic

GitLab 实例（非镜像源）走的是 VCS 类型仓库，认证方式和 Packagist 镜像完全不同：http-basic 在这里完全不生效，必须用 gitlab-token 字段，且值为 glpat-xxx 格式的 Personal Access Token。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

token 必须有 read_api 和 read_repository 权限
域名 key 填 GitLab 实例完整地址，如 "gitlab.example.com"，不能带路径
项目级 auth.json 更安全：放在项目根目录，内容为 {"gitlab-token": {"gitlab.example.com": "glpat-xxx"}}，然后加进 .gitignore

CI/CD 环境必须用 COMPOSER_AUTH，别挂文件

把 auth.json 文件挂进 Docker 容器或塞进 CI 构建步骤，等于把 token 明文暴露在日志或缓存层里。正确做法是通过环境变量注入：

设置 COMPOSER_AUTH='{"http-basic": {"repo.example.com": {"username": "user", "password": "token"}}}'
Docker 构建时用 --build-arg COMPOSER_AUTH=...，运行时用 -e COMPOSER_AUTH
GitHub Actions 中用 env: + secrets，GitLab CI 用 variables: + protected variables

packagist.org 不关掉，私有包永远找不到

这是团队最常踩的坑：明明 repositories 配了私有源，auth.json 也写了，但 composer require vendor/private 还是报 Could not find package。原因只有一个："packagist.org": false 没写，或者写错了位置。