Composer怎么安全连接Nexus私服-composer-PHP中文网

Composer 1.0+ 默认启用 secure-http，主动拒绝 HTTP 仓库 URL，不发起请求即报错或静默失败；必须配置 HTTPS 或对特定仓库临时禁用 secure-http 并确保认证与网络隔离。

composer怎么安全连接nexus私服

直接用 HTTP 连接 Nexus 的 Composer 仓库是不安全的，composer install 会因默认启用 secure-http 而报错或静默失败。必须显式配置信任或改用 HTTPS。

为什么 `composer install` 会拒绝 HTTP 仓库

Composer 1.0+ 默认开启 secure-http，禁止所有非 HTTPS 的仓库 URL。错误典型表现是：

The 'http://localhost:8081/repository/composer-proxy/' URL could not be accessed: HTTP/1.1 400 Bad Request（实际可能是 302 重定向到 HTTPS 失败，或直接被拦截）

这不是 Nexus 配置问题，而是 Composer 主动拒绝——它甚至不会发请求过去。

Academic Composer Upload

辅助学术写作，包括查找资料、生成大纲、引用扩写及润色风格，同时确保引用规范。

下载

即使 Nexus 后端没开 HTTPS，也得让 Composer “同意”走 HTTP
仅关闭 secure-http 不够，还需确保仓库 URL 和证书（如启用 HTTPS）匹配
全局关闭 secure-http 是危险操作，应只对特定仓库临时禁用

安全连接的两种可行路径

真正安全 ≠ 必须 HTTPS，而是“可控 + 可验证”。内网环境下，HTTPS 带来额外运维成本（证书签发、续期、Nginx/TLS 终结），而 HTTP + 认证 + 网络隔离同样满足安全基线。

推荐：HTTP + Basic Auth（适合内网）：在 Nexus 中为 Composer 仓库启用 Anonymous Access 或创建专用用户，在 composer.json 的 repositories 里写带凭据的 URL："url": "https://user:pass@localhost:8081/repository/composer-hosted/"。注意：URL 必须是 HTTPS 才能塞凭据；若用 HTTP，凭据会被忽略
生产环境强推：HTTPS + 有效证书：用 Let's Encrypt 或企业 CA 签发证书，Nexus 前置 Nginx 或直接配置 Jetty TLS。此时 secure-http 自然通过，无需额外开关
不推荐：全局 composer config -g secure-http false —— 会削弱所有后续仓库的安全校验，包括你未来可能加的 Packagist 镜像

如何正确配置 `composer.json` 连 Nexus

关键不是 URL 写法，而是仓库类型和认证方式是否匹配 Nexus 实际设置。Hosted、Proxy、Group 三类仓库行为不同：

Proxy 类型仓库（如代理 Packagist）：必须确保 Nexus 已成功抓取过包元数据，否则 composer install 会卡在 Reading composer.json of vendor/package (dev-main) 并超时
Hosted 类型：上传私有包后，需手动点击 Nexus UI 的 Rebuild index，否则 Composer 查不到新包
Group 类型：URL 指向 Group，但内部 Proxy 仓库若配置了 Remote storage 为 http://packagist.org，仍会触发 secure-http 拒绝——必须把 remote URL 改成 HTTPS 版本

示例安全配置（内网 Hosted）：

{
  "repositories": [
    {
      "type": "composer",
      "url": "https://nexus.internal.example.com/repository/php-private/"
    }
  ],
  "config": {
    "secure-http": true,
    "http-basic": {
      "nexus.internal.example.com": {
        "username": "php-deploy",
        "password": "xxx"
      }
    }
  }
}

最容易被忽略的点：Nexus 插件版本与 Composer 客户端兼容性

Nexus Repository Composer 插件（nexus-repository-composer）并非官方 Sonatype 组件，不同版本对 Composer 协议支持程度差异大：

v2.x 插件要求 Composer 2.2+，若你用的是 composer v1.x（如某些旧 CI 镜像），会返回 406 Not Acceptable —— 因为插件只响应 application/vnd.composer.v2+json
插件未启用或未启动时，Nexus 返回 404，但 Composer 报错信息模糊，容易误判为网络问题
检查命令必须用 bundle:list | grep composer（Karaf 控制台），而非只看 UI 是否出现 Recipe 选项