Composer本身不支持RBAC，真正实现权限控制的是后端服务或网关；它仅解析配置并发起HTTP请求，不校验角色、不携带身份上下文，auth.json仅用于认证而非授权。

composer 本身不支持 RBAC，所谓“私有源 RBAC 防泄露”是常见误解——真正起作用的是你用的后端服务或网关，不是 composer 命令。

为什么 composer install 从不校验角色

composer 客户端只做三件事：读 composer.json、解析 repositories、发 HTTP 请求。它不携带用户身份上下文，不检查角色，也不执行策略判断。哪怕你在 auth.json 里填了 token，那也只是用于 Basic 或 Bearer 认证，不是授权依据。

常见错误现象：

• 误以为配置了 composer config --global http-basic.repo.example.com user token 就实现了“按角色拉包”
• 把 auth.json 提交到 Git，导致所有协作者都能复用凭据访问全部私有包
• 用 Nginx 反向代理静态包目录，仅靠 token 鉴权，却没记录谁在何时拉了哪个包

真正能落地 RBAC 的三个位置

权限必须由以下任一环节实现，composer 本身只是发起请求的“哑客户端”：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• Artifactory：支持 Repository + Permission Target + User/Group 绑定，可精确控制 read/deploy 权限，并开启审计日志记录 user、ip、package name、timestamp
• Nexus 3：需手动启用 audit 插件，否则默认不记日志；权限模型是 ABAC 混合型（Repository Privileges + Roles + Realms），但 composer publish 和 install 无法区分权限粒度
• GitLab Package Registry：权限继承自项目级别（Guest/Reporter/Developer…），不能单独限制“只能 install 不准 publish”，且无细粒度包级白名单

auth.json 的权限陷阱与硬性要求

auth.json 是认证凭据，不是权限载体。它泄露=私有包失守：

• 必须设为 600 权限（chmod 600 ~/.composer/auth.json），任何其他权限（如 644）都允许同服务器其他用户直接读取并复用
• 全局 auth.json 存在风险：一个 token 被滥用，等于所有关联仓库全暴露
• 项目级 auth.json 必须进 .gitignore，且不应出现在 CI 环境变量中明文传递
• 若用 SSH 私钥方式访问 Git 托管的私有包，~/.ssh/id_rsa 同样要 600，且不能被 CI 工具自动注入到容器内未清理

行为溯源的关键：日志字段不能少

没有完整上下文的日志 = 无法审计。RBAC 审计有效性的底线是日志至少包含：

• remote_addr（真实客户端 IP，非反向代理 IP）
• http_user_agent（识别是 composer/2.7 还是 curl）
• request_uri（含具体包名和版本，如 /packages/composer/private-lib/1.2.0.zip）
• auth_user 或 x-forwarded-user（经网关解析后的用户名，非 token 字符串）
• time_local（带毫秒精度，便于排查并发异常）

自建 Nginx + static 服务时，log_format 必须显式定义这些字段；Artifactory/Nexus 的审计日志默认缺省部分字段，需在 UI 中勾选补全。