Composer本身不处理权限角色，所有鉴权均依赖HTTP层或Git层实现；401/403错误源于Nginx、Private Packagist等后端服务拦截，而非Composer客户端逻辑。
Composer 本身不处理仓库访问限制，所有鉴权和权限拦截都发生在 HTTP 层或 Git 层——你看到的 401、403、Permission denied (publickey) 等错误，根源不在 Composer 客户端，而在它背后调用的服务。
为什么 composer install 会报 401/403 而不是直接提示“没权限”
Composer 只负责发 HTTP GET 请求获取 packages.json 或下载 dist 包，它不会解析响应体内容。当 Web 服务器（如 Nginx）或后端服务（如 Private Packagist）返回 401 Unauthorized 或 403 Forbidden 时，Composer 就原样抛出异常，比如：
Could not fetch https://satis.example.com/packages.json, enter your github.com credentials to access private repos
这个提示是误导性的——它只说明“请求被拒”，但拒绝方未必是 GitHub。常见混淆点：
- 你在
repositories里配了https://satis.example.com/，但该域名背后是 Nginx +auth_basic，而你没配auth.json - 你用了 Satis 镜像，但镜像服务器无法访问 GitHub API（导致构建失败），而你又没配
GITHUB_TOKEN环境变量 - 你配置了多个
vcs仓库，其中某个私有 GitLab 地址要求 OAuth2 Bearer Token，但 Composer 不支持自动注入这类 Header
auth.json 怎么写才真正生效
auth.json 是 Composer 唯一能读取凭据的文件，但它只对两类场景起作用：
- HTTP Basic Auth：比如
https://user:pass@satis.example.com/这种 URL 格式会被自动拆解，但更推荐用auth.json避免密码明文暴露 - GitHub OAuth：必须写成
{"github-oauth": {"github.com": "xxx..."}}，且仅对github.com域名有效；对gitlab.example.com或自建 Gitea 无效
正确写法示例（放在项目根目录或 ~/.composer/auth.json）：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
{
"http-basic": {
"satis.example.com": {
"username": "dev-team",
"password": "api-token-abc123"
}
},
"github-oauth": {
"github.com": "ghp_xxx..."
}
}
注意：http-basic 的 key 必须是完整域名（不含路径），且不能带 https:// 前缀；密码字段可以是 API token，不一定是登录密码。
vcs 类型仓库的权限实际由 Git 决定
当你在 repositories 中写 "type": "vcs"，Composer 只是把 URL 交给 Git 命令去克隆。所以：
- 用
https://URL → Git 会尝试用系统凭据管理器或auth.json中的http-basic→ 失败就卡住或报Authentication failed - 用
git@SSH URL → Git 用~/.ssh/id_*密钥认证 → 和 Composer 完全无关，auth.json对它无效 - 如果 SSH Agent 没加载密钥，或
ssh -T git@your-git-server.com报错，composer install一定失败
验证方式很简单：手动运行 git clone https://satis.example.com/private-package.git 或 git clone git@your-git-server.com:org/pkg.git，成功了 Composer 才可能成功。
Private Packagist / Nexus / Artifactory 的权限怎么映射到 Composer
这些企业级服务虽然对外暴露 Composer 协议接口，但它们的权限模型和 Composer 无关。关键点：
- Private Packagist：权限按「组织 → 团队 → 用户」三级控制，Composer 请求时只带 HTTP Header（如
Authorization: Bearer xxx），Token 必须由 PP 后台生成并绑定角色 - Nexus/Artifactory：需在 Repository 设置中开启「Anonymous Access」或为 Composer Client 配置 Realm（如 Nexus 的
Nexus-AuthenticationHeader） - 所有这类服务都不认
auth.json里的github-oauth，必须用http-basic或自定义 Header 插件
最容易被忽略的是：某些 Nexus 镜像配置了「代理缓存」，但上游源（如 packagist.org）返回 404 时，Nexus 默认不缓存该响应，导致 Composer 反复重试并超时。此时要进 Nexus UI 把「Negative Cache TTL」从 0 改成 300 秒。
