composer不支持单项目授权码，需通过auth.json文件配置凭证；优先级为项目根目录→全局~/.composer/auth.json→环境变量composer_auth；格式须为标准json，键名须匹配仓库域名，密码字段填pat而非密码。
composer怎么设置项目授权码
Composer 本身不支持“为单个项目单独配置授权码”，所谓“项目授权码”其实是通过 auth.json 文件在项目目录或全局位置声明凭证，让 Composer 在访问私有仓库（如 Packagist.com 私有包、GitHub Packages、GitLab Composer Registry）时能自动携带 token 认证。
auth.json 放哪才生效
位置决定作用域：放错地方，token 就不会被读取。Composer 按固定顺序查找 auth.json，优先级从高到低：
-
./auth.json（项目根目录）→ 只对当前项目生效，最安全，推荐 -
$COMPOSER_HOME/auth.json（通常是~/.composer/auth.json）→ 全局生效，所有项目都用同一套凭据 - 环境变量
COMPOSER_AUTH→ 值是 JSON 字符串，适合 CI 环境，但需注意 shell 转义问题
常见错误：把 auth.json 放进 vendor/ 或子目录，Composer 完全无视。
auth.json 格式写错导致 401 错误
最常踩的坑是结构不对。Composer 要求 auth.json 是标准 JSON，且顶层必须是 http-basic 或 github-oauth 等认证类型键。例如对接 GitHub Packages：
{
"http-basic": {
"npm.pkg.github.com": {
"username": "your-github-username",
"password": "ghp_xxx..."
}
}
}
注意：
-
password字段填的是 Personal Access Token（PAT），不是密码；GitHub 已禁用密码登录，用错直接报401 Unauthorized - 域名必须精确匹配仓库源配置里的
host，比如你composer.json里写了"packagist.org": false和自定义 repo"https://gitlab.example.com/api/v4/groups/my-group/-/packages/composer"，那auth.json里 key 得是"gitlab.example.com" - 不要加
https://前缀，只写域名
composer config --auth 写 token 的风险
执行 composer config --auth http-basic.gitlab.example.com username token 确实会自动写入 auth.json，但它默认写到全局位置（$COMPOSER_HOME/auth.json）。这意味着：
- 所有项目都共享这个 token，一旦泄露或误提交，影响面极大
- 不同项目可能需要不同权限的 token（比如 A 项目只需 read，B 项目要 push），全局配置无法区分
- CI 流水线中若用该命令，容易把 token 泄露到构建日志里（尤其没屏蔽敏感参数时）
更稳妥的做法是手动生成项目级 auth.json，并把它加入 .gitignore；CI 中则改用 COMPOSER_AUTH 环境变量注入，避免文件落地。
私有 token 不是“设一次就完事”，它和仓库域名、认证方式、作用域强绑定，漏掉一个细节，composer install 就卡在 “Could not fetch …” 上不动——这时候先别怀疑网络，去检查 auth.json 的路径、JSON 结构、域名拼写和 token 类型。
