composer config store-auths false 未生效是因为该命令需加 --global 参数才修改全局配置；应运行 composer config --global store-auths false，并手动清空 auth.json 文件。
composer config store-auths false 为什么没生效
因为 store-auths 是全局配置项，直接在项目目录下运行该命令只会改当前项目的 composer.json，而 Composer 实际读取的是全局配置（auth.json 的写入行为由全局 setting 控制）。真正起作用的是用户级配置。
实操建议：
- 运行
composer config --global store-auths false，不是项目内运行 - 执行后检查
~/.composer/auth.json（Linux/macOS）或%APPDATA%\Composer\auth.json（Windows）是否还存在——如果文件已删或为空，说明生效；若仍保留凭据，说明之前已有手动写入，需手动清空该文件 - 后续所有
composer install或composer update遇到私仓认证时，会提示输入账号密码，但不会存入auth.json
私仓登录时仍自动保存凭证？检查 auth.json 是否被绕过
即使设了 store-auths false，某些场景下 Composer 还是会把 token 写进 auth.json：比如用 composer login repo.example.com 命令，或某些 CI 工具调用时显式传了 --auth 参数。这类操作不走 store-auths 开关判断。
常见错误现象：
- 执行
composer login private.repo.com后，auth.json又出现了凭据 - CI 脚本里用了
composer config http-basic.private.repo.com user pass，这条命令强制写入，无视store-auths - 某些私仓（如 GitLab Package Registry）返回的 token 类型为
bearer，Composer 旧版本（
想彻底禁用凭证存储？光设 store-auths 不够
store-auths false 只控制「交互式输入后是否保存」，不阻止其他方式写入。要真正杜绝敏感信息落盘，得组合几层防护：
- 确保
auth.json文件权限严格：Linux/macOS 下运行chmod 600 ~/.composer/auth.json，避免被其他进程读取 - 在 CI 环境中，用环境变量传凭据：
COMPOSER_AUTH='{"http-basic":{"repo.example.com":{"username":"$USER","password":"$PASS"}}}' composer install，这样完全不触碰磁盘 - 若用 GitHub Packages 或 GitLab，优先用 Personal Access Token（PAT）配合
composer config --global github-oauth.github.com xxx—— 注意这个配置项不受store-auths影响，它单独存，需手动删或用composer config --global --unset github-oauth.github.com
store-auths false 对私仓请求的影响
设成 false 后，每次需要认证的请求都会卡住等人工输入，这在自动化流程里不可行。所以它只适合本地开发调试阶段用，不适合 CI/CD 或部署脚本。
性能与兼容性注意点：
- Composer 2.2+ 支持
no-interaction模式下跳过认证提示，但前提是凭据已通过环境变量或命令行参数提供；否则直接报错Could not fetch packages, no authentication supplied - 某些私仓（如 Nexus Repository）要求 Basic Auth 必须带
Authorization请求头，而store-auths false+--no-interaction组合会导致请求头缺失，报 401 —— 此时必须用COMPOSER_AUTH环境变量兜底 - PHP 8.1+ + Composer 2.5+ 对空
auth.json处理更严格，若文件存在但内容为空，仍可能触发警告，建议直接rm ~/.composer/auth.json
最易被忽略的一点：Composer 的配置层级有 project / global / system 三级，store-auths 必须在 global 层设置才影响所有项目；且一旦某个项目自己的 composer.json 里写了 "config": {"store-auths": true}，它会覆盖 global 设置——得一起清理。
