应将 GITHUB_TOKEN 注入 ~/.composer/auth.json 并设权限为 600，以突破 GitHub API 限频；私有 GitLab 等需额外配置对应 oauth 字段及专用 token。
GitHub Actions 中 Composer 安装失败：403 rate limit exceeded 怎么办
直接原因就是 composer install 或 composer update 在 CI 中默认走 GitHub 的匿名 API，每小时只有 60 次请求，一跑多任务或带大量私有包的项目立刻触发 403 rate limit exceeded。这不是 Composer 配置问题，是凭证没传进去。
必须用 GITHUB_TOKEN 注入到 Composer 的 auth.json
GitHub Actions 自动注入的 GITHUB_TOKEN 有 repo 权限，能突破匿名限频（提升到每小时 5000+），但 Composer 默认不读它。得手动写进 auth.json 并确保路径正确：
- 在
composer install前加一步：echo '{"github-oauth": {"github.com": "${{ secrets.GITHUB_TOKEN }}"}}' > ~/.composer/auth.json - 注意路径是
~/.composer/auth.json，不是项目根目录下的auth.json；后者只对本地命令生效，CI 中 Composer 默认不加载它 -
secrets.GITHUB_TOKEN是 Actions 自带 secret，无需手动配置，直接引用即可 - 如果项目用了 GitHub Packages（
packages.github.com），还得额外加"github-packages": {"username": "x-access-token", "token": "${{ secrets.GITHUB_TOKEN }}"}
避免用 GITHUB_TOKEN 写死在 composer.json 里
有人把 token 直接塞进 composer.json 的 repositories 字段，比如写成 "url": "https://x-access-token:${{ secrets.GITHUB_TOKEN }}@github.com/..." —— 这非常危险：
- token 会随
composer.json被提交到仓库，哪怕设了 private，也等于公开泄露 - Actions 日志可能打印出完整 URL，token 就暴露了
- Composer 1.x 对这种写法支持不稳定，2.x 已明确不推荐
- 正确做法始终是走
auth.json注入，和代码完全解耦
私有 GitLab / Bitbucket 仓库要单独配 token
如果项目还依赖非 GitHub 的私有源（比如自建 GitLab），GITHUB_TOKEN 完全无效。此时必须：
- 创建对应平台的专用 token（如 GitLab 的 Personal Access Token，scope 至少含
read_api和read_repository） - 存为 Actions secret，例如
GITLAB_TOKEN - 在 job 中扩展
auth.json：echo '{"gitlab-oauth": {"gitlab.com": "${{ secrets.GITLAB_TOKEN }}"}}' >> ~/.composer/auth.json - 注意多个 OAuth 源可以共存于同一
auth.json，但字段名必须是github-oauth、gitlab-oauth等官方识别的 key
最易被忽略的是 ~/.composer/auth.json 的权限问题：如果文件权限太宽（比如 644），Composer 2.x 会直接拒绝读取并静默跳过认证——务必在写入后加 chmod 600 ~/.composer/auth.json。
