Composer全局配置修改的是用户目录下的~/.composer/config.json（Windows为%APPDATA%\Composer\config.json），该文件是全局配置唯一来源且优先级高于项目配置；必须用--global标志设置github-oauth、http-basic等全局参数，否则无效。
Composer 的全局配置不是靠 composer global config 命令直接“设置一次就永久生效”的——它本质是修改用户目录下的 composer.json 文件，且很多参数（比如 github-oauth、http-basic）必须用 --global 标志显式写入，否则只影响当前项目。
global config 命令到底改哪里？
执行 composer config --global key value 时，Composer 会读写你家目录下的 ~/.composer/config.json（Windows 是 %APPDATA%\Composer\config.json）。这个文件就是全局配置的唯一来源，不会和项目级 composer.json 合并覆盖，而是优先级更高。
- 运行
composer config --global --list可查看当前所有已设的全局键值 - 想看具体位置？执行
composer config --global --list --format=json，第一行输出的home字段就是路径 - 手动编辑该文件没问题，但必须保证 JSON 合法；用命令写入更安全，尤其涉及嵌套结构（如
repositories）
哪些参数必须用 --global 才生效？
不是所有 config 键都支持全局作用域。只有明确标注为 “global-only” 或实际影响全局行为的参数才需要 --global。典型包括：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
github-oauth：用于绕过 GitHub API 限流，必须全局设置，例如composer config --global github-oauth.github.com your_token -
http-basic：私有仓库认证，如composer config --global http-basic.repo.example.com username password -
store-auths：控制是否保存凭证到全局配置，默认true；设为false可避免密码明文落盘 -
bin-dir：指定composer global require安装的可执行文件存放路径，例如composer config --global bin-dir ~/bin（记得把该路径加进$PATH）
为什么 config --global 写进去却没效果？
常见失效原因不是命令错，而是环境或权限干扰：
- 终端用了
sudo composer ...：这会让配置写入 root 用户的~/.composer/，而非当前用户，后续普通用户执行composer就读不到 - 多个 Composer 版本共存：比如通过
snap、brew、手动下载混用，各自可能读取不同位置的全局配置；检查which composer和composer --version输出路径是否一致 - IDE 或 CI 环境未加载 shell profile：全局
bin-dir配置了但$PATH没更新，导致命令找不到；在 CI 中建议显式用$(composer config --global bin-dir)/xxx - 配置项拼写错误：比如把
github-oauth写成github_oauth，Composer 不报错但静默忽略
私有包源怎么安全加到全局？
用 composer config --global repositories.xxx 添加私有仓库，但要注意格式和顺序：
- 类型为
composer的源必须带完整 URL，且末尾要有/，例如：composer config --global repositories.mypriv type composer，然后composer config --global repositories.mypriv.url https://repo.example.com/ - 如果同时配了多个私有源，Composer 默认按字母序合并，不保证查找优先级；想强制优先，得用
repositories数组 +packagist.org显式禁用：composer config --global repositories.packagist false，再把私有源放在数组前面 - 敏感 URL（含 token）别硬编码在配置里，改用
http-basic或环境变量方式（如https://${GITHUB_TOKEN}@github.com），避免泄露
全局配置最麻烦的点在于：它不像项目配置那样 git 跟踪、容易回滚，一旦写错可能影响所有项目依赖安装。所以每次执行 composer config --global 前，先 cp ~/.composer/config.json ~/.composer/config.json.bak 备份一下，比事后调试快得多。
