composer install 不处理密钥，泄露源于密钥被置于 auth.json、scripts、.env 或 CI 日志等可读位置；需轮换密钥、用 git filter-repo 彻底清除 Git 历史、禁用 set-env、优先用 COMPOSER_AUTH 环境变量、避免在 composer.json 中硬编码，并确保 .env 和 composer.lock 不含敏感信息。
直接结论：composer install 本身不处理密钥，泄露只发生在你把密钥塞进它能读到的地方——比如 auth.json、scripts、.env 未忽略、或 CI 日志里拼接命令。
auth.json 进了 Git 历史怎么办
这不是“删掉就安全了”的问题。git rm --cached auth.json 只删索引，历史提交里还躺着明文 token。
- 立刻轮换所有相关密钥（GitHub PAT、私有仓库密码等），旧凭证作废
- 用
git filter-repo --invert-paths --path auth.json彻底清除历史（需先安装git-filter-repo） - 强制推送后，通知所有协作者
git clone新仓库，旧 clone 仍含风险 - 补加
auth.json到.gitignore，并用git check-ignore -v auth.json确认生效
CI 中用 GITHUB_TOKEN 或自定义密钥执行 composer config
GitHub Actions 默认对 GITHUB_TOKEN 做基础脱敏（显示为 ***），但对 MY_API_KEY 这类自定义 secret 完全不处理——只要出现在 run 步骤中，就可能被完整打印。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 禁用已弃用的
::set-env写法，改用env:块注入 - 避免在
run里拼接含密钥的命令，例如：composer config http-basic.repo.example.com ${{ secrets.USER }} ${{ secrets.PASS }}—— 命令本身会被记录 - 优先用
COMPOSER_AUTH环境变量传凭证，而非生成auth.json文件 - 检查所有
.yml文件，确保该变量没出现在steps.*.summary或 debug 输出中
composer.json 的 scripts 字段藏密钥是高危操作
哪怕写成 "deploy": "curl -H 'Authorization: Bearer abc123' https://api.example.com"，只要提交进 Git，就等于把密钥发给所有人。
- 脚本必须调用外部可执行文件（如
deploy.sh），由其从环境变量读取密钥 - 禁止在
extra或config字段硬编码凭据——这些内容会随composer show暴露 -
config.platform是纯版本模拟字段，不能存任何真实密钥，误用等于开后门
敏感信息该放哪儿才真正安全
Composer 不是密钥管理工具，它的职责只是装包。密钥必须脱离 Composer 流程，在运行时注入。
- 开发环境：用
vlucas/phpdotenv加载.env（确保.env在.gitignore且未被提交） - 生产环境：由运维通过系统级方式注入，比如 Docker 的
-e API_KEY=xxx、K8s Secret 挂载、或 php-fpm.conf 的env[API_KEY] - 绝对不要把密钥写进
composer.json、composer.lock、或任何会被git push的文件里
最常被忽略的一点：composer.lock 里的 dist.url 字段可能含临时 token 或基础认证 URL，比如 https://user:pass@repo.example.com。这种泄露是静默的、间接的，但传播起来比 auth.json 更广——因为 lock 文件默认要提交。
