Composer通过平台令牌支持私有包2FA：在GitHub等平台启用2FA并生成PAT，配置composer.json的vcs仓库，使用composer config存储http-basic凭证或采用SSH密钥认证，依赖平台安全机制实现私有包安全拉取。
Composer 本身不直接支持为私有包配置双因素认证（2FA），但你可以通过在访问私有仓库时使用需要 2FA 认证的令牌来实现安全控制。重点在于：你的私有包通常托管在支持 2FA 的平台（如 GitHub、GitLab 或 Bitbucket），而 Composer 通过 HTTPS 使用个人访问令牌（PAT）或 SSH 密钥拉取代码。以下是具体操作方式。
启用平台账户的 2FA 并生成访问令牌
以 GitHub 为例：
- 进入 GitHub 账户设置，开启双因素认证（Settings → Password and authentication）。
- 生成一个具有 repo 权限的个人访问令牌（Personal Access Token）。
- 保存该令牌，后续用于 Composer 鉴权。
在 composer.json 中配置私有仓库
假设你使用的是 VCS 类型的私有 Git 仓库：
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/your-company/private-package"
}
],
"require": {
"your-company/private-package": "^1.0"
}
}
Composer 在执行 composer install 或 update 时会尝试克隆该仓库。由于仓库是私有的，Composer 会要求提供凭据。
使用令牌进行身份验证
为了避免每次输入用户名和密码，可将访问令牌写入 Composer 的 auth 配置：
- 运行命令：composer config http-basic.github.com username token
- 对于 GitHub，username 可以是任意值（如你的用户名），token 是前面创建的 PAT。
- 该命令会自动在 auth.json 文件中保存凭证（推荐放在项目根目录或全局 composer home 下）。
示例 auth.json 内容：
{
"http-basic": {
"github.com": {
"username": "your-username",
"password": "your-personal-access-token"
}
}
}
使用 SSH + 2FA（替代方案）
如果你更倾向使用 SSH：
- 确保本地已生成 SSH 密钥，并将公钥添加到 GitHub/GitLab 账户。
- 使用 SSH URL 配置仓库：git@github.com:your-company/private-package.git
- SSH 本身不依赖 2FA，但结合平台的密钥管理机制，仍能保证安全性。
此方式无需在 Composer 中配置额外认证，只要 SSH 代理运行正常即可。
基本上就这些。Composer 不直接处理 2FA，而是依赖你使用的 Git 平台的安全机制。只要用好个人访问令牌或 SSH 密钥，就能在启用 2FA 的前提下顺利安装私有包。
