为什么 Composer 会突然要输用户名密码？
这不是 Composer 本身的问题，而是你正在访问的仓库（比如私有 Packagist、GitLab、GitHub Enterprise 或自建 Satis）启用了 HTTP Basic Auth。Composer 在拉取 composer.json 中声明的包时，遇到 401 Unauthorized 响应，就会中断并提示输入凭证。
常见触发场景：
- 公司内部私有包仓库配置了 Nginx/Apache 的
auth_basic - 使用
repositories指向了需要认证的 Git URL（如https://git.example.com/org/pkg.git），且该地址受基础认证保护 - 执行
composer update时，某依赖的源被重定向到需认证的镜像或代理
如何安全地预存凭证，避免交互式输入？
手动输密码既不安全也不适合 CI/CD。正确做法是用 Composer 自带的 config 命令把凭证写进 auth.json —— 它会自动加密存储（仅限 HTTPS 协议下的域名级匹配）。
执行以下命令（替换为你的实际域名和凭据）：
composer config -g http-basic.git.example.com username password
这会在全局配置目录（~/.composer/auth.json 或 %APPDATA%\Composer\auth.json）中写入结构化条目。Composer 后续请求 https://git.example.com/... 时会自动带上 Authorization: Basic ... 头。
注意：
- 域名必须精确匹配（不含路径、端口），例如
git.example.com不等价于https://git.example.com - 不要在项目级
auth.json里硬编码密码；若必须放项目里，确保它不在 Git 提交范围内（加进.gitignore） - 密码明文存在文件中，所以务必限制文件权限：
chmod 600 ~/.composer/auth.json
Git 类型仓库的认证怎么处理？
如果私有包是通过 Git URL（如 "type": "vcs"）引入的，且该 Git 服务（如 GitLab）要求基础认证，仅配 http-basic 不够 —— 因为 Composer 默认走 Git 协议或 SSH，不是 HTTP。
你需要强制它走 HTTPS 并附带凭证：
- 在
repositories中把 URL 写成带用户信息的格式：https://username:password@git.example.com/org/pkg.git（不推荐，易泄露） - 更安全的方式：用 Git 的
credential.helper配置（对 Composer 透明），例如运行：git config --global credential.https://git.example.com.helper store
然后首次 clone 时输一次，Git 会缓存凭证 - 或者改用 SSH URL（
git@git.example.com:org/pkg.git），前提是目标服务器已配好公钥信任
CI 环境下怎么传凭证又不暴露？
CI 脚本里不能硬写密码，也不能依赖交互。推荐组合方案：
- 用环境变量注入凭证：
composer config -g http-basic.git.example.com "$GIT_USERNAME" "$GIT_PASSWORD"
- 确保 CI 设置了
GIT_USERNAME和GIT_PASSWORD为 secret 类型（GitHub Actions 的secrets、GitLab CI 的variablesmasked） - 某些 CI（如 GitHub Actions）支持直接挂载
auth.json文件，但要注意路径权限和内容是否含敏感字段
别忽略一点：如果私有包的 composer.json 里写了 dist 下载链接（url 字段），而这个 URL 也需要基础认证，那还得单独为那个域名再跑一遍 composer config http-basic —— Composer 是按域名匹配的，不是按仓库逻辑统一处理。
