配置私有仓库时，通过auth.json或composer config命令安全存储认证信息，避免明文暴露凭据。首先在composer.json中添加仓库地址，支持VCS或Composer类型；随后使用项目级auth.json文件或全局配置设置HTTP基本认证、GitHub OAuth或GitLab Token。推荐使用全局配置并结合.gitignore忽略敏感文件，防止提交至版本控制。团队协作中可通过文档指导或CI/CD环境变量注入凭据，在持续集成环境中可动态生成auth.json。Composer会自动携带认证信息下载依赖，确保安全访问私有包。

当使用 Composer 安装来自私有仓库或需要身份验证的包时，Composer 提供了安全的方式来处理认证信息。你不需要在命令行或配置中明文暴露凭据，而是通过配置 auth.json 文件或运行 composer config 命令来安全存储凭证。

配置私有仓库并设置认证

要在项目中使用需要登录的 Composer 仓库（如私有 Packagist、GitLab、GitHub Packages 等），先在 composer.json 中添加仓库信息：

{ “repositories”: [ { “type”: “vcs”, “url”: “https://gitlab.com/your-company/your-private-package.git” } ] }

对于私有 HTTP 仓库（如 Satis 或私有 Packagist 实例），可能还需要用户名和令牌：

{ “repositories”: [ { “type”: “composer”, “url”: “https://packages.yourcompany.com” } ] }

提供认证凭据的两种方式

Composer 会从以下位置读取认证信息，优先使用项目级配置，其次为全局配置。

• 项目级 auth.json：在项目根目录创建 auth.json 文件：

{ “http-basic”: { “packages.yourcompany.com”: { “username”: “your-username”, “password“: “your-token-or-password” } }, “github-oauth”: { “github.com”: “your-github-token” }, “gitlab-token”: { “gitlab.com”: “your-gitlab-token” } }

• 全局配置（推荐）：使用 Composer 命令行设置，避免将凭据提交到版本控制：

composer config –global http-basic.packages.yourcompany.com username composer config –global http-basic.packages.yourcompany.com password

或针对 GitLab：

Readdy

ai驱动的产品设计工具，可以快速生成高质量的UI界面和代码

81

查看详情

composer config –global gitlab-token.gitlab.com your-access-token

敏感信息保护建议

不要将 auth.json 提交到 Git 等版本控制系统。应在 .gitignore 中加入：

/auth.json

团队成员可通过文档说明如何自行配置凭据，或通过 CI/CD 环境变量注入认证信息。CI 环境中可临时生成 auth.json：

echo “{“http-basic”: {“packages.yourcompany.com”: {“username”: “$USER”, “password”: “$TOKEN”}}}” > auth.json

Composer 在请求私有仓库时会自动携带这些认证信息，确保能正常下载依赖。

基本上就这些。只要仓库配置正确，凭据以安全方式提供，Composer 就能顺利处理受保护的包。关键是避免硬编码密码，使用 token 并妥善管理权限。