使用CircleCI构建PHP应用时的私有仓库凭证安全存储方案问询

把凭证硬编码在composer.json里确实存在安全风险，下面是两种更安全的方案，均基于CircleCI环境变量管理凭证：

方案一：临时生成Composer auth.json文件 #

1. 在CircleCI项目的保密环境变量中添加BITBUCKET_USERNAME（你的Bitbucket用户名）和BITBUCKET_APP_PASSWORD（专门创建的Bitbucket应用密码，仅赋予仓库读取权限）。
2. 在CircleCI的config.yml构建阶段生成临时auth.json，用完即删：

jobs:
  build:
    docker:
      - image: cimg/php:8.2 # 根据你的PHP版本调整镜像
    steps:
      - checkout
      # 生成临时auth.json
      - run: |
          cat > auth.json << EOF
          {
            "bitbucket-oauth": {
              "bitbucket.org": {
                "consumer-key": "$BITBUCKET_USERNAME",
                "consumer-secret": "$BITBUCKET_APP_PASSWORD"
              }
            }
          }
          EOF
      # 执行依赖安装
      - run: composer install --no-interaction --prefer-dist
      # 构建完成后删除auth.json，避免泄露
      - run: rm auth.json

方案二：通过Composer全局命令配置认证 #

这种方式无需生成文件，直接在构建过程中配置Composer全局认证：

1. 同样先在CircleCI中配置好BITBUCKET_USERNAME和BITBUCKET_APP_PASSWORD保密变量。
2. 修改config.yml：

jobs:
  build:
    docker:
      - image: cimg/php:8.2
    steps:
      - checkout
      # 配置Composer全局Bitbucket认证
      - run: composer config --global bitbucket-oauth.bitbucket.org $BITBUCKET_USERNAME $BITBUCKET_APP_PASSWORD
      # 安装依赖
      - run: composer install --no-interaction --prefer-dist

关键注意事项 #

• 必须使用Bitbucket应用密码而非账号原始密码：在Bitbucket仓库的「设置」->「App passwords」中创建，仅勾选「Repository read」权限，遵循最小权限原则。
• CircleCI中的凭证变量要设置为保密变量，避免变量值在构建日志中明文显示。
• 确保composer.json中的私有仓库配置正确，示例：

"repositories": [
  {
    "type": "vcs",
    "url": "git@bitbucket.org:your-team/your-private-package.git"
  }
]

内容的提问来源于stack exchange，提问作者Christian