composer怎么配置store-auths为false_composer禁止保存认证信息【安全】

composer config store-auths false 未生效是因为该命令需加 –global 参数才修改全局配置；应运行 composer config –global store-auths false，并手动清空 auth.json 文件。

composer config store-auths false 为什么没生效

因为 store-auths 是全局配置项，直接在项目目录下运行该命令只会改当前项目的 composer.json，而 Composer 实际读取的是全局配置（auth.json 的写入行为由全局 setting 控制）。真正起作用的是用户级配置。

实操建议：

• 运行 composer config --global store-auths false，不是项目内运行
• 执行后检查 ~/.composer/auth.json（linux/macos）或 %APPDATA%Composerauth.json（windows）是否还存在——如果文件已删或为空，说明生效；若仍保留凭据，说明之前已有手动写入，需手动清空该文件
• 后续所有 composer install 或 composer update 遇到私仓认证时，会提示输入账号密码，但不会存入 auth.json

私仓登录时仍自动保存凭证？检查 auth.json 是否被绕过

即使设了 store-auths false，某些场景下 Composer 还是会把 Token 写进 auth.json：比如用 composer login repo.example.com 命令，或某些 CI 工具调用时显式传了 --auth 参数。这类操作不走 store-auths 开关判断。

常见错误现象：

• 执行 composer login private.repo.com 后，auth.json 又出现了凭据
• CI 脚本里用了 composer config http-basic.private.repo.com user pass，这条命令强制写入，无视 store-auths
• 某些私仓（如 gitlab Package Registry）返回的 token 类型为 bearer，Composer 旧版本（

想彻底禁用凭证存储？光设 store-auths 不够

store-auths false 只控制「交互式输入后是否保存」，不阻止其他方式写入。要真正杜绝敏感信息落盘，得组合几层防护：

• 确保 auth.json 文件权限严格：Linux/macOS 下运行 chmod 600 ~/.composer/auth.json，避免被其他进程读取
• 在 CI 环境中，用环境变量传凭据：COMPOSER_AUTH='{"http-basic":{"repo.example.com":{"username":"$USER","password":"$PASS"}}}' composer install，这样完全不触碰磁盘
• 若用 GitHub Packages 或 GitLab，优先用 Personal Access Token（PAT）配合 composer config --global github-oauth.github.com xxx —— 注意这个配置项不受 store-auths 影响，它单独存，需手动删或用 composer config --global --unset github-oauth.github.com

store-auths false 对私仓请求的影响

设成 false 后，每次需要认证的请求都会卡住等人工输入，这在自动化流程里不可行。所以它只适合本地开发调试阶段用，不适合 CI/CD 或部署脚本。

性能与兼容性注意点：

• Composer 2.2+ 支持 no-interaction 模式下跳过认证提示，但前提是凭据已通过环境变量或命令行参数提供；否则直接报错 Could not fetch packages, no authentication supplied
• 某些私仓（如 Nexus Repository）要求 Basic Auth 必须带 Authorization 请求头，而 store-auths false + --no-interaction 组合会导致请求头缺失，报 401 —— 此时必须用 COMPOSER_AUTH 环境变量兜底
• PHP 8.1+ + Composer 2.5+ 对空 auth.json 处理更严格，若文件存在但内容为空，仍可能触发警告，建议直接 rm ~/.composer/auth.json

最易被忽略的一点：Composer 的配置层级有 project / global / system 三级，store-auths 必须在 global 层设置才影响所有项目；且一旦某个项目自己的 composer.json 里写了 "config": {"store-auths": true}，它会覆盖 global 设置——得一起清理。