Composer运行时通过${VAR_NAME}占位符调用getenv()解析环境变量，仅config.http-basic、repositories[].url等明确支持插值的字段生效，未定义变量时静默忽略该配置项，不报错也不留空值。
composer config -l 不显示变量未定义时的空值
运行 composer config -l 看到的配置值，是变量插值后最终生效的结果。如果 ${FOO} 对应的环境变量根本没设，Composer 默认忽略该字段——既不报错，也不填空字符串，而是直接跳过整个配置项。这导致你看到的配置列表里“凭空少了一行”，比如 config.http-basic 消失了，但你查 composer.json 却明明写了。
验证方式很简单：在 shell 中临时导出变量再对比
-
FOO=bar composer config -l | grep http-basic—— 能搜到说明字段支持插值且语法对 -
unset FOO; composer config -l | grep http-basic—— 搜不到不等于写错了，只是变量为空被静默丢弃
哪些字段真正支持 ${VAR} 插值？别猜，看文档或试出来
不是所有 composer.json 字段都认 ${VAR}。只有明确标注「supports variable interpolation」的才生效，比如：
-
config.http-basic：可写成{"gitlab.example.com": {"username": "${GIT_USER}", "password": "${GIT_TOKEN}"}} -
repositories[].url：如"${PRIVATE_PACKAGIST_URL}" -
config.notify-batch、config.process-timeout：只接受数字字符串，${TIMEOUT}必须是"300"这种格式
常见误用：config.repos、config.github-protocols、autoload 等字段完全不支持插值，写了也白写，不会报错，但不会展开。
变量未定义时的静默失败，比报错更危险
Composer 遇到未定义变量，既不中断执行，也不记录 warning，它就当那行配置不存在。后果很直接：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 私有仓库认证失效 →
composer install卡在Could not fetch... - 镜像源 URL 为空 → 回退到 packagist.org，国内用户大概率超时
- 数值型配置丢失 →
process-timeout变成默认 300 秒，大项目 update 直接被 kill
最稳妥的校验动作不是看 config -l，而是加 --verbose 跑一次真实操作：
COMPOSER_AUTH= composer install --dry-run -v 2>&1 | grep -E "(http-basic|repositories|timeout)"
观察日志里是否出现 Using HTTP basic auth for example.com 或 Fetching package list from ${URL} 这类提示——只有实际触发插值，才说明变量被识别并使用了。
不要指望 vendor/autoload.php 帮你加载 .env
vendor/autoload.php 是 Composer 自动加载器，只管 class 文件映射，它不读 .env，也不调用 putenv()。有人试图在 autoload.files 里 require dotenv，结果：
- 项目还没装
vlucas/phpdotenv，composer install就因循环依赖失败 - 即使装了，
autoload.files是 Composer 执行完才加载的，对composer.json里的变量插值毫无作用
真正起效的时机，是 PHP 进程启动那一瞬间——Composer 此时调用 getenv()。所以校验变量是否可用，必须在 PHP 启动前确认，而不是等 autoload.php 加载之后。
