auth.json顶层只支持http-basic和github-oauth两个字段，其他如token、api-key等均被忽略；域名必须与仓库URL主机名完全一致，字段名username/password大小写敏感且不可拼错。
Composer 的 auth.json 只存两类凭据：http-basic 和已弃用但部分旧项目仍在用的 github-oauth；其他字段（比如 token、api-key）会被完全忽略——配了也白配。
auth.json 里能写哪些字段？
它不是自由格式 JSON，顶层只能有这两个 key：
-
http-basic：用于私有 Packagist、Nexus、Artifactory、GitLab Packages 等所有走 HTTP Basic Auth 的仓库 -
github-oauth：仅限 GitHub（含 GitHub Enterprise），且 Composer 2.4+ 已标记为 deprecated，新项目应避免使用
常见错误是手写一个带 auth-token 或 access_token 字段的 JSON，结果 Composer 静默跳过整个文件。必须严格按结构来：
{"http-basic": {"repo.example.com": {"username": "token", "password": ""}}}
注意：username 和 password 字段名不能拼错（比如写成 user 或 passwd），大小写敏感；很多私仓（如 Nexus）要求把 token 填进 username，password 留空——这不是 bug，是它们的实现约定。
为什么写了 http-basic 却还是 401？
90% 是域名 key 不匹配。Composer 匹配时只看请求发出时的 Host 头，不解析 URL 路径或协议：
- 仓库 URL 是
https://pkg.internal.company:8080/api/v1→ key 必须是"pkg.internal.company"（端口、路径、协议全忽略） - 填成
"https://pkg.internal.company"、"www.pkg.internal.company"或"pkg.internal.company:8080"都无效 - 子域名不继承：
api.repo.example.com和repo.example.com必须分别配置
验证是否加载成功：运行 composer config --global --list | grep http-basic，能看到已注册的域名列表；再加 -v 执行 composer install，会输出 Checking http-basic authentication for repo.example.com 行，确认它真在用你配的凭据。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
怎么安全地管理多个私有仓库凭据？
别反复用 composer config --global http-basic 覆盖——它每次只写一个域名，后写覆盖先写。推荐两种方式：
- 项目级：在项目根目录执行
composer config --auth http-basic.pkg1.example.com user1 token1（不加--global），写入./auth.json，优先级高于全局，且不影响其他项目 - 环境变量级（CI/CD 首选）：设
COMPOSER_AUTH='{"http-basic":{"pkg1.example.com":{"username":"token","password":""},"pkg2.internal":{"username":"svc","password":"xxx"}}}'，它优先级最高，且内容由 CI 平台 secret 注入，不落地、不留痕
手动编辑 auth.json 时，务必确保文件权限 ≤600（Linux/macOS），否则 Composer 静默跳过；Windows 上要确认路径是 %APPDATA%\Composer\auth.json，不是随便哪个 .composer 文件夹。
git clone 阶段失败，http-basic 没用？
因为 Composer 对 "type": "vcs" 的仓库（如 GitLab 私有 Git 仓库）底层调用的是 git clone https://...，不是 HTTP 请求，所以 http-basic 不生效。
必须额外配置 git_source 模板，并用 CI 变量替换：
- 在
composer.json中加："git_source": "https://oauth2:${GITLAB_TOKEN}@gitlab.example.com/" - CI 脚本中用
sed或等效方式替换占位符，再运行composer install
单纯靠 http-basic 无法解决这类问题，这是协议层差异，不是配置遗漏。
