Ansible执行composer install时如何配置GitHub OAuth token访问私有仓库

• 直接使用Ansible composer模块的github_oauth参数
  你期望的写法本身就是可直接运行的，Ansible官方community.general.composer模块原生支持github_oauth参数，执行composer命令前会自动临时配置OAuth凭据，不会在服务器上残留敏感信息，符合你的使用需求。
  完整可运行的playbook示例如下：

- name: "Run composer install"
  become: yes
  become_user: username
  community.general.composer:
    command: install
    github_oauth: "{{ github_composer_token }}"
    global_command: false
    working_dir: /home/username/web/domain.com/public_html

注意不要把token硬编码在playbook文件中，建议通过Ansible Vault加密存储，或从CI/CD的安全变量中传入，避免凭据泄露。

• 替代方案1：提前配置全局composer认证
  如果需要在多个composer任务中复用token，可以提前给目标部署用户配置全局的composer认证文件：

- name: 配置全局composer GitHub OAuth凭据
  become: yes
  become_user: username
  copy:
    content: |
      {
        "github-oauth": {
          "github.com": "{{ github_composer_token }}"
        }
      }
    dest: ~/.composer/auth.json
    mode: '0600'

- name: 执行composer install
  become: yes
  become_user: username
  community.general.composer:
    command: install
    global_command: false
    working_dir: /home/username/web/domain.com/public_html

如果不需要长期保留凭据，可以在composer任务执行完成后添加任务删除auth.json文件，同时注意把文件权限设置为0600，避免其他用户读取敏感信息。

• 替代方案2：使用SSH密钥访问私有仓库
  如果不想使用OAuth token，可以给部署用户生成SSH密钥，将公钥添加到对应私有GitHub仓库的部署密钥列表，同时把composer.json中私有仓库的地址修改为SSH格式（git@github.com:用户名/仓库名.git），无需配置任何token即可正常拉取私有仓库代码。

内容的提问来源于stack exchange，提问作者Jeazyee