必须用COMPOSER_AUTH环境变量动态注入Token，因其优先级最高、不落地文件、仅内存解析；明文写入auth.json或脚本等于公开凭证，Git历史无法彻底清除，CI日志易泄露，且预置$CI_JOB_TOKEN等临时令牌更安全、最小权限、自动轮换。
明文存储 GitHub/GitLab Token 到 auth.json 或 CI 脚本里，等于把数据库密码贴在公司玻璃门上——只要有人 clone 仓库或看一眼构建日志，就能直接拿走私有包访问权。必须用环境变量动态注入，且确保变量本身不落地、不解密残留。
为什么不能把 Token 写进 auth.json 提交到 Git
一旦 auth.json 进入版本控制，所有协作者、CI 日志、甚至 fork 的分支都能看到完整凭证。Git 历史无法真正删除已提交的敏感内容，git filter-repo 也难保彻底清理干净。更危险的是：很多团队误以为 “只放测试 Token 就没事”，但这类 Token 往往权限未收敛，仍可读取私有仓库源码或依赖清单。
-
auth.json必须出现在.gitignore中，且不应存在任何 commit 记录 - CI 平台（如 GitLab）预置的
$CI_JOB_TOKEN是临时、最小权限、自动轮换的，比手动创建的 PAT 更安全 - 若必须用 GitHub PAT，请勾选
read:packages和delete:packages（仅限需要发布场景），禁用repo全权限
在 CI 中安全注入 Composer 凭证的两种可靠方式
核心原则：凭证只在运行时存在内存中，不写磁盘、不生成临时文件、不解密到环境变量以外的上下文。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 使用平台原生变量 +
auth.json模板：在 CI 脚本中 echo 生成auth.json，内容直接引用${GITHUB_TOKEN}或${CI_JOB_TOKEN}，执行完composer install后立即rm -f auth.json - 跳过
auth.json，改用 Composer 的--repository-url+--http-basic参数：例如composer install --repository-url https://gitlab.com/api/v4/groups/my-group/-/projects/my-package --http-basic gitlab.com:gitlab-ci-token:${CI_JOB_TOKEN} - 避免用
composer config命令写入全局配置——它会修改~/.composer/auth.json，在共享 runner 上极易泄露
本地开发时如何避免硬编码 Token
开发者本地运行 composer install 时，不该靠复制粘贴 Token 解决问题。正确路径是让凭证“只活在当前 shell 会话”里。
- 在项目根目录添加
.env.local（已加到.gitignore），写入GITHUB_TOKEN=xxx - 用
source .env.local && composer install启动命令，Token 仅存在于该 shell 生命周期内 - 配合
direnv工具可自动加载：echo 'export GITHUB_TOKEN="xxx"' > .envrc，进入目录即生效，离开即清除 - 绝对不要用
export GITHUB_TOKEN=xxx写进~/.zshrc—— 这会让 Token 泄露到所有后续终端和子进程
加密环境变量 ≠ 安全，关键看解密时机和作用域
有些团队用 Vault 或 KMS 加密 Token，再在 CI 中调用 API 解密。这看似高级，但若解密结果赋值给普通环境变量（如 export DECRYPTED_TOKEN=...），就又退化成明文风险。真正的安全边界在“是否脱离可信执行环境”。
- GitLab CI 的
dotenv变量类型支持直接注入到auth.json模板中，无需中间解密步骤 - AWS CodeBuild 支持
secrets-manager集成，解密后直接传给 Composer 命令参数，不落盘、不设环境变量 - 如果必须自己解密，请用
printf '%s' "$ENCRYPTED_TOKEN" | openssl enc -d -aes-256-cbc -K "$KEY" -iv "$IV"直接管道传给 Composer，避免变量赋值
最常被忽略的一点：Composer 缓存目录（~/.composer/cache）可能包含已认证的包元数据，其中隐含仓库地址和部分凭证痕迹。CI runner 必须启用 clean cache 策略，本地开发建议定期 composer clear-cache，尤其在切换 Token 后。
