Composer拉取私有仓库需配置有效身份凭证，否则报403或Repository not found；通过auth.json或composer config设置http-basic或bearer认证，注意域名精确匹配、凭据类型合规及.gitignore保护。
要在Composer中拉取私有Git仓库（如GitHub、GitLab、Bitbucket）或私有Packagist服务，必须让Composer在发起HTTP请求时携带有效的身份凭证；不配置用户名密码或等效Token，执行composer install或composer update时会直接报403 Forbidden或Repository not found错误，且无法跳过。
通过auth.json配置HTTP基础认证
第一步：在项目根目录创建auth.json文件（若已存在则直接编辑）。
第二步：写入标准http-basic结构，域名必须与仓库URL的主机名完全一致——例如访问https://gitlab.example.com/group/repo.git，就必须用"gitlab.example.com"作为键名，写成"gitlab.com"或"www.gitlab.example.com"均无效。
第三步：填入对应服务的用户名和密码（或App Password、Personal Access Token等等效凭证）。Bitbucket必须用App Password，GitHub推荐用Personal Access Token并勾选repo权限，GitLab需启用read_repository权限。密码字段不可为空字符串，否则认证被忽略。
示例内容如下：
{
"http-basic": {
"gitlab.example.com": {
"username": "deploy-user",
"password": "glpat-xxxxxxxxxxxxxxxxxxxx"
}
}
}
【注意：auth.json文件绝不能提交到Git仓库】，应在.gitignore中加入/auth.json，否则凭据泄露风险极高。
使用命令行快速生成auth.json
方法一：执行以下命令自动创建并写入（适用于支持HTTP基础认证的任意域名）：
composer config http-basic.gitlab.example.com deploy-user glpat-xxxxxxxxxxxxxxxxxxxx
该命令会在项目根目录生成auth.json，内容与手动编写一致，且自动处理JSON格式转义问题。
方法二：若想全局生效（所有项目都复用同一套凭据），加--global参数：
composer config --global http-basic.github.com your-github-username your-personal-access-token
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
此时auth.json将写入用户主目录（如~/.composer/auth.json），Composer会按项目根目录→用户主目录顺序查找，项目级配置优先级更高。
针对Private Packagist或自建Satis仓库
Private Packagist要求API token作为用户名，密码字段留空字符串""——这是唯一允许密码为空的场景，其他服务均不接受空密码。
填写时必须确保token具备read权限，且repositories中私有源type为composer、URL协议为https、数组位置排在首位。
若使用Bearer Token方式（如某些SaaS私有源），则不能用http-basic字段，而应写为：
{
"bearer": {
"packages.example.com": "your-bearer-token-here"
}
}
这一步必须严格匹配服务端要求的认证类型，填错字段名或嵌套层级会导致认证静默失败，Composer不会提示具体原因。
验证配置是否生效
① 运行composer diagnose，观察输出中是否包含HTTP basic authentication is available提示，并确认对应域名出现在列表中。
② 执行composer clear-cache清除旧缓存，避免因缓存导致的认证绕过假象。
③ 尝试拉取一个明确需要认证的私有包：composer require your-vendor/private-package:dev-main。
如果返回Could not fetch或401 Unauthorized，说明凭证未被识别；若返回Package not found，则可能是repositories配置缺失或包名不匹配，而非认证问题。
这一步操作起来很简单，直接把命令敲完回车就行。
