答案：通过HTTPS配合访问令牌配置Composer，可在无SSH权限时访问私有仓库。1. 生成平台个人访问令牌（PAT）；2. 使用auth.json配置http-basic认证，避免硬编码；3. 在composer.json中添加私有仓库VCS地址；4. 部署时通过环境变量动态写入凭证并忽略auth.json提交，确保安全。
在没有SSH权限的服务器上使用Composer访问私有仓库，可以通过HTTPS配合访问令牌（token）的方式来实现。这种方式常见于无法配置SSH密钥的共享主机、CI/CD环境或受限服务器中。以下是具体操作步骤。
1. 为私有仓库生成访问令牌
大多数代码托管平台（如GitHub、GitLab、Gitea等）支持生成个人访问令牌（Personal Access Token, PAT），用于替代密码进行认证。
以GitHub为例：
- 登录GitHub，进入 Settings → Developer settings → Personal access tokens → Tokens (classic)- 点击“Generate new token”，选择合适的权限（如 repo、read:packages）- 生成后复制该token，注意只显示一次这个token将代替密码用于HTTPS克隆。
2. 配置Composer使用HTTPS和token
你需要让Composer在拉取私有包时自动使用你的token进行身份验证。有两种方式：URL内嵌token 或 使用Composer的auth配置。
方法一：在composer.json中使用token嵌入URL（不推荐长期使用）
- 修改仓库URL，将token作为用户名或密码部分- 示例："repositories": [ { "type": "vcs", "url": "https://your-token-xzy123@gitlab.com/username/private-package.git" }]
这种方式简单但会暴露token，建议仅用于测试。
方法二：使用Composer配置auth.json（推荐）
- 在项目根目录或全局 Composer 配置目录下创建或编辑 auth.json- 推荐放在项目中的
auth.json 并通过 .gitignore 保护示例 auth.json 内容：
{ "http-basic": { "gitlab.com": { "username": "your-username", "password": "your-personal-access-token" } }}
对于 GitHub，域名是 github.com，同样适用。
3. 确保依赖项指向私有仓库
确保你的 composer.json 中正确配置了私有包的仓库：
"repositories": [ { "type": "vcs", "url": "https://gitlab.com/username/private-package.git" }]
4. 部署时的安全注意事项
- 不要将 auth.json 提交到版本控制中。添加到 .gitignore- 在部署脚本中动态写入 auth.json（例如从环境变量）- 使用环境变量传递 token，例如：echo '{ "http-basic": { "gitlab.com": { "username": "git", "password": "'"$GITLAB_TOKEN"'" } }}' > auth.json
这样既避免了硬编码，又保证了安全性。
基本上就这些。只要配置好 HTTPS 访问凭证，即使没有 SSH 权限，Composer 也能正常拉取私有仓库的 PHP 包。关键是使用访问 token 替代密码，并通过 Composer 的认证机制安全传递。
