推荐使用auth.json文件管理PHP项目依赖的认证token，避免将敏感信息写入composer.json。通过在项目或用户主目录下创建auth.json并配置http-basic或github-oauth信息，结合.gitignore防止泄露；可在CI/CD中利用环境变量动态生成auth.json，部署后清理；也可用composer config --global设置全局token，适用于个人环境。核心是确保token不进入版本控制，优先采用auth.json隔离敏感数据。
在使用 Composer 管理 PHP 项目依赖时，有时需要访问私有仓库（如 GitHub、GitLab 或私有 Packagist 镜像），这通常需要认证 token。直接将 token 写入 composer.json 是不安全的，因为该文件通常会提交到版本控制系统（如 Git），容易导致敏感信息泄露。以下是几种安全管理认证 token 的推荐做法。
使用 Composer 的 auth 配置机制
Composer 支持通过 auth.json 文件管理认证信息，这个文件可以独立于 composer.json 存在，并且不应提交到版本库。
- 在项目根目录或用户主目录下创建 auth.json 文件。 - 将 token 放入该文件中，结构如下：{
"http-basic": {
"gitlab.example.com": {
"username": "your-username",
"password": "your-token"
}
},
"github-oauth": {
"github.com": "your-github-token"
}
}
- 然后将 auth.json 添加到 .gitignore 中，防止误提交。利用环境变量动态注入 token
某些 CI/CD 环境或部署平台支持环境变量，可结合脚本动态生成 auth.json。
- 在部署时，通过环境变量读取 token，并写入临时的 auth.json：
echo '{
"github-oauth": {
"github.com": "'"$GITHUB_TOKEN"'"
}
}' > auth.json
- 运行 composer install 前确保认证文件已就位。- 部署完成后清理敏感文件（可选）。使用全局配置避免项目级存储
Composer 允许将认证信息保存在全局配置中（用户主目录下的 composer/config.json 或通过 composer config 命令设置）。
- 使用命令行设置全局 token：composer config --global github-oauth.github.com- 这样所有项目共享认证，无需在每个项目中重复配置。- 注意：仅适用于个人开发环境，多人共用机器时不推荐。
基本上就这些。关键是不让 token 出现在版本控制中，优先使用 auth.json 配合 .gitignore，再结合环境变量或全局配置实现灵活又安全的认证管理。不复杂但容易忽略细节。
