Composer提示GitHub API限制是因为未认证请求每小时仅60次，超限后报错；可通过配置Personal Access Token（需repo权限）提升至5000次/小时，并确保全局auth.json正确写入且无覆盖、用户一致、网络正常。

为什么 Composer 会提示 GitHub API 限制？

因为 Composer 在安装或更新依赖时，会通过 GitHub API 获取仓库元数据（比如 composer.json、tag 列表、zipball 下载地址等）。未认证的请求默认只有每小时 60 次限额，一旦超限就会报错：

Failed to download vendor/package: GitHub API limit (60 calls/hr) is exhausted.

这个限制是按 IP 绑定的，共享网络（如公司出口、云服务器）更容易撞上。

如何用 OAuth Token 绕过限速？

GitHub 要求你生成一个 Personal Access Token，并让 Composer 用它发起带认证的请求，这样配额会提升到每小时 5000 次。关键点不是“随便填个 token”，而是必须确保 Composer 能正确读取并使用它：

• Token 需勾选 repo 权限（仅读取私有/公开仓库信息，不需要 delete_repo 或 admin:org）
• 执行 composer config -g github-oauth.github.com <your_token_here>，注意域名是 github.com，不是 api.github.com
• 配置会写入全局 auth.json（通常在 ~/.composer/auth.json 或 %APPDATA%\Composer\auth.json），内容应为：

  {
      "github-oauth": {
          "github.com": "ghp_abc123..."
      }
  }

常见失败原因和验证方法

即使配置了 token，仍可能继续报限速错误——多数是以下情况导致：

One-click installation of GitHub projects

GInstall OneClick — 一键安装 GitHub 项目：规划、克隆、安装 Node 依赖、运行开发脚本。适用于想要获取 GitHubNode.js 项目的用户。

下载

• token 已过期或被手动删除（GitHub 的 classic token 默认永不过期，但 fine-grained token 有明确有效期）
• 运行 composer install 的用户跟执行 composer config -g 的不是同一个（比如用 sudo 或切换了系统用户）
• 项目根目录下存在本地 auth.json，覆盖了全局配置；可检查 composer config --list --global | grep github 确认生效位置
• PHP 进程被禁用了 curl 或 SSL 验证失败（尤其在某些旧版 CentOS 上），此时 token 认证根本发不出去

快速验证是否生效：运行 composer diagnose，看到 GitHub API: OK 表示已成功认证。

Token 泄露风险与最小权限实践

把 token 写进项目代码或提交到 Git 是高危操作。除非必要，不要在 composer.json 中硬编码，也不要把它放进 CI 脚本明文里。更安全的做法：

• CI 环境（如 GitHub Actions）直接用 ${{ secrets.GITHUB_TOKEN }}（自带，作用域受限，无需额外配置）
• 私有服务器部署时，用环境变量 COMPOSER_AUTH 注入 JSON 字符串（格式同 auth.json），避免落盘
• 开发机上定期轮换 token，删掉不再使用的旧 token（GitHub Settings → Developer settings → Personal access tokens）

真正容易被忽略的是：token 权限越小越好，public_repo 就够用的，别一上来就勾全选。否则一次泄露可能波及所有仓库。