使用Composer的auth配置机制可安全管理私有仓库令牌。通过composer config --global github-oauth.github.com YOUR_TOKEN将令牌存入全局auth.json，或在项目级执行相同命令生成本地auth.json并加入.gitignore。团队协作时结合CI/CD环境变量（如GitHub Actions的secrets）注入COMPOSER_AUTH，避免硬编码。严禁将令牌明文写入composer.json或提交含令牌的auth.json至版本库，确保凭证与代码分离且使用最小权限原则。
在使用 Composer 管理 PHP 项目依赖时，如果需要从私有 Git 仓库（如 GitHub、GitLab 或 Bitbucket）拉取包，通常需要配置访问令牌（Access Token）来完成身份验证。直接在 composer.json 中写入令牌是不安全的做法。以下是安全存储和使用私有仓库访问令牌的推荐方式。
使用 Composer 的 auth 配置机制
Composer 提供了专门用于存储认证信息的配置方式，可以通过 config 命令将令牌保存到本地的 auth.json 文件中，避免将其暴露在版本控制里。
执行以下命令：
-
composer config --global http-basic.your-domain.com username token（适用于私有 HTTP 认证） - 对于 GitHub/GitLab 等基于 OAuth 或 Personal Access Token 的 Git 仓库，更推荐使用：
composer config --global github-oauth.github.com YOUR_GITHUB_TOKENcomposer config --global gitlab-token.gitlab.com YOUR_GITLAB_TOKEN
这些命令会将令牌写入全局的 auth.json 文件（通常位于 ~/.composer/auth.json），该文件不应被提交到代码仓库。
项目级 auth.json（适用于团队协作）
如果你希望配置仅对当前项目生效，可以去掉 --global 参数：
composer config http-basic.your-repo.com username token
这会在项目根目录生成或更新 auth.json（位于 ./composer/auth.json）。建议将此文件加入 .gitignore，并通过安全渠道（如 CI/CD 密钥管理）分发给团队成员。
在 CI/CD 环境中安全注入令牌
例如，在 GitHub Actions 中：
- 将令牌设置为 Secrets（如
GITHUB_TOKEN） - 在工作流中运行：
run: composer install
env:
COMPOSER_AUTH: '{ "github-oauth": { "github.com": "${{ secrets.GITHUB_TOKEN }}" } }'
Composer 会自动读取 COMPOSER_AUTH 环境变量作为认证配置，无需修改文件。
避免的安全陷阱
以下做法应严格禁止：
- 在
composer.json中明文写入令牌（如用https://token@github.com/...） - 将包含令牌的
auth.json提交到 Git 仓库 - 在日志或脚本中打印令牌
始终确保敏感信息与代码分离，并使用最小权限原则分配访问令牌（例如只读权限即可）。
基本上就这些。只要利用好 Composer 内建的认证机制和环境隔离，就能安全地使用私有仓库而无需暴露凭证。
