怎么在Composer中设置私有包源代理-composer-PHP中文网

私有包源代理不是配HTTP代理，而是通过Artifactory、Satis等可控中间服务提供标准Composer API；必须禁用packagist.org、显式声明type为composer的私有源URL（末尾斜杠不可少），凭据仅能通过权限600的auth.json配置。

怎么在composer中设置私有包源代理

私有包源代理 ≠ 给 Composer 加 HTTP 代理，而是让 Composer 从你可控的中间服务拉包——比如 Artifactory、Satis 或自建 Packagist 镜像。直接配 http-proxy 对私有 Git 包无效，对私有 Composer 源也只起辅助作用。

私有 Git 包必须走 vcs 类型仓库，不能靠代理“透传”

如果你的私有包托管在内网 GitLab/GitHub Enterprise，Composer 不会用 https-proxy 去连它；它走的是 Git 协议（git clone），而 Git 自己要单独配代理：

git config --global http.proxy http://127.0.0.1:3128
git config --global https.proxy http://127.0.0.1:3128
Git 的 proxy 值也必须是 http:// 开头，即使目标是 HTTPS 地址
若 Git 服务器要求 NTLM 认证，同样得用 cntlm 或 px 中转，Composer 本身不参与这层认证

私有 Composer 源（如 Artifactory/Satis）要禁用 packagist.org 并显式声明

Artifactory 或 Satis 这类服务对外暴露的是标准 Composer API（packages.json），但 Composer 默认仍会先查 packagist.org。不关掉它，私有源就形同虚设：

在项目 composer.json 的 repositories 数组里，必须包含一个 {"packagist.org": false} 对象，且独立成项
私有源要写成 {"type": "composer", "url": "https://your-artifactory/artifactory/composer-remote/"} —— 注意末尾斜杠不能少
URL 必须可被 PHP cURL 直接访问；如果 Artifactory 在内网且需代理，才轮到配 Composer 的 https-proxy（但此时代理是给 Composer 自身连 Artifactory 用的，不是给私有包用的）
别把私有源 URL 写成网页地址（如 https://your-artifactory/webapp/#/artifacts/browse/tree/General/composer-remote），那会 404

auth.json 是唯一合法凭据入口，且权限必须为 600

私有源需要 token 或 basic auth 时，composer.json 里绝不能出现密码或 token 字符串：

Academic Composer Upload

辅助学术写作，包括查找资料、生成大纲、引用扩写及润色风格，同时确保引用规范。

下载

凭据只能写进 auth.json，路径默认是 ~/.composer/auth.json（全局）或项目根目录下（项目级）
文件权限必须是 600（Linux/macOS）：否则 Composer 直接忽略该文件，报错提示模糊（如 “Could not parse version constraint”）
格式必须是标准 JSON：{"http-basic": {"your-artifactory-domain": {"username": "api-token", "password": ""}}} —— password 字段即使为空也不能省略
Git 私有仓库的凭据也走这里，但 key 是 github-oauth 或 gitlab-token，不是 http-basic

CI/CD 环境中 path 类型仓库最危险，别让它混进生产配置

"type": "path" 看似方便本地调试，但在 CI 构建时极易出问题：

路径是相对的，CI 工作目录和开发者本地不一致，../my-private-lib 很可能 404
symlink 依赖本地文件系统权限，Docker 容器里常失效
Composer 2.2+ 默认禁用 path 包的自动加载，除非你在该包自己的 composer.json 里加 "options": {"symlink": true}
上线前务必用 composer config --unset repositories.my-path-repo 清掉，再切回稳定版本的 vcs 或 composer 源

最容易被忽略的一点：私有源是否生效，不能只看 composer install 是否成功；要检查 vendor/composer/installed.json 里对应包的 dist.url 是否指向你的私有地址，而不是 https://api.github.com/... —— 否则你以为走的是私有源，实际还是直连 GitHub。