必须用环境变量或auth.json，绝不能写进composer.json或提交到Git；Composer不加密密钥，硬编码等于公开密码。auth.json默认从项目根目录或~/.composer/auth.json读取，支持http-basic和github-oauth，可被.gitignore隔离；CI中应使用COMPOSER_AUTH环境变量注入并确保不泄露。
必须用环境变量或 auth.json，绝不能写进 composer.json 或提交到 Git。 Composer 本身不加密、不管理密钥，它只按规则读取凭证；一旦硬编码或误提交，就等于把服务器密码贴在 GitHub 上。
为什么 auth.json 是最常用且可控的方式
Composer 默认从项目根目录或全局 ~/.composer/auth.json 读取认证信息，支持 http-basic 和 github-oauth 两类凭据。它不参与依赖解析逻辑，只在下载阶段被调用，且可被 .gitignore 安全隔离。
-
auth.json必须放在项目根目录（或用户主目录），内容格式严格：{"http-basic": {"repo.example.com": {"username": "user", "password": "token"}}} - 执行
composer config --global http-basic.repo.example.com user token会自动写入全局auth.json，适合多项目复用 - 若私有源是 GitHub 私库，用
"github-oauth": {"github.com": "ghp_xxx..."}更安全（token 可限 scope） - 务必把
auth.json加入.gitignore；CI 环境中应删掉该文件，改用环境变量注入
CI/CD 中必须用 COMPOSER_AUTH 环境变量
在 GitHub Actions、GitLab CI 或 Docker 构建中，auth.json 文件落地即风险。平台提供的 secrets 注入机制才是唯一合规路径。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 设置环境变量：
COMPOSER_AUTH='{"http-basic": {"repo.example.com": {"username": "ci-bot", "password": "xxx"}}}' - 确保该变量只在构建 job 中生效，不被缓存或日志输出（GitHub Actions 要开启
mask，GitLab 要设为 protected） - Docker 场景下，避免用
ENV COMPOSER_AUTH=...写进镜像层——应通过docker run -e COMPOSER_AUTH=...运行时注入 - 验证是否生效：运行
composer install -vvv 2>&1 | grep -i auth，应看到Using custom authentication，而非401 Unauthorized
SSH 私钥方式仅适用于 Git 类私有仓库
如果私有包托管在自建 Git 服务（如 Gitea、GitLab Self-Hosted），且你已配置好 SSH 访问，则 Composer 支持直接走 SSH 协议拉取，无需密码或 token。
- 前提是
ssh -T git@your-git-server.com能通，且git ls-remote git@your-git-server.com:group/repo.git返回 ref 列表 -
composer.json中repositories必须为"type": "vcs"，URL 格式为git@host:group/repo.git（冒号分隔，不是斜杠） - 私钥不能带密码，或需提前用
ssh-add加载；CI 中建议用ssh-agent+ssh-add <(echo "$SSH_PRIVATE_KEY")注入 - 注意：SSH 方式不适用于
type: "composer"的私有 Packagist 镜像，只对 Git 仓库有效
真正容易被忽略的点是：无论用哪种方式，只要 composer.json 里出现明文 token、用户名或密码，哪怕加了注释“请替换”，只要进了 Git 历史，就必须轮换所有相关密钥——因为 Git 的历史不可擦除，而 Composer 没有密钥轮转机制。
