composer config -g -l仅显示全局配置文件内容，不反映运行时合并结果，项目配置、环境变量等更高优先级设置会覆盖它，且不显示auth.json中的认证信息。
直接运行 composer config -g -l 就能列出所有全局配置项及其当前值，但这个命令本身不显示配置来源、是否被覆盖、或哪些是默认值——容易误判实际生效的配置。
为什么 composer config -g -l 显示的值可能不是真实生效的
Composer 配置有层级：全局（COMPOSER_HOME/config.json）→ 当前项目（composer.json）→ 命令行参数 → 环境变量。即使 -g -l 显示 github-oauth.github.com 已设置，项目级配置仍可覆盖它；环境变量如 COMPOSER_AUTH 也会优先于全局文件中的 auth.json 内容。
-
composer config -g -l只读取并展示全局配置文件内容，不参与运行时合并逻辑 - 真正影响命令行为的是 Composer 运行时合并后的最终配置，需用
composer diagnose辅助验证认证类配置是否生效 - 某些字段（如
process-timeout）在全局配置中设为null，实际会回退到内置默认值（300 秒），但-l仍显示null，易误解为“未设置”
composer config -g -l 的等效替代与增强方式
想确认某项配置是否真被加载，比单纯看列表更可靠的做法是查具体键或结合输出格式：
- 查单个全局配置项：
composer config -g github-oauth.github.com（无输出表示未设置） - 以 JSON 格式输出全部，方便脚本解析：
composer config -g -l --format=json - 查看配置文件路径本身，确认是否在编辑正确的位置：
composer config -g home→ 返回类似/home/username/.composer，真正的全局配置文件是$COMPOSER_HOME/config.json，认证信息则在$COMPOSER_HOME/auth.json - 注意：
composer config -g -l不显示auth.json中的内容（如 GitHub token、GitLab private token），那些必须单独用composer config -g --auth -l
常见误操作与对应修复
很多人以为改了 composer config -g 就立刻全局生效，结果 install 仍报 401，问题往往出在以下几点：
- 混淆
config.json和auth.json：OAuth token、private token 必须放在auth.json，写进config.json无效且可能引发解析错误 - 权限问题：Linux/macOS 下若
~/.composer/auth.json权限过宽（如 644），Composer 会静默忽略它，必须是600：chmod 600 ~/.composer/auth.json
- 配置键名写错：比如设 GitHub OAuth 应用 token，键名是
github-oauth.github.com，不是github-token或github.oauth；GitLab 是gitlab-token.gitlab.example.com - 缓存干扰：修改全局配置后，如果之前执行过
composer update，vendor 目录下已锁死的包不会自动重走认证流程，需加--refresh或删vendor/重装
最常被忽略的是 auth.json 的文件权限和与 config.json 的职责分离——这两个文件一个管「我是谁」，一个管「我怎么行为」，混在一起改，八成出问题。
