满足 http 基本身份验证 - 传递凭据

Question

我已经设置了满意的私人作曲家数据包管理器。 Satis 在“packages.asc.company”上运行，我通过 apache2 http 基本身份验证保护了该站点，并且可以通过输入 http 基本身份验证凭据在浏览器中打开它。

现在我的问题是：如何在运行时以最佳和最安全的方式向作曲家传递凭据以访问 satis 站点，例如“作曲家更新”？

目前我在 apache .htpasswd 文件中只注册了一个用户，并且需要将其凭据传递到某个地方才能从 composer 连接到 satis。

有两种情况我需要连接：

1) 在开发过程中来自项目

2) 在持续集成过程中来自 jenkins。

---

3) 编辑：SSL

我现在正在尝试使用 openssl 来保护登录时的凭据。在运行 apache 的 linux 上，我创建了一个私钥和一个 .crt 文件（请参阅：Apache SSL。在我的 linux 上，我可以现在用https打开satis包页面，我什至将http重定向到https，一切正常（我使用我自己的openssl证书生成，因为它是一个内部应用程序，我不需要受信任的ca）。

现在，当我从我的 Linux 虚拟机（这里我正在编码）切换到我的 Windows 并尝试运行 composer update 时，我收到以下错误消息： （hosts文件配置正确）

[作曲家\下载器\TransportException] 无法下载“https://packages.asc.company/packages.json”文件：SSL 操作失败，代码为 1。OpenSSL 错误消息： 错误：14090086：SSL 例程：SSL3_GET_SERVER_CERTIFICATE：证书验证失败 无法启用加密 无法打开流：操作失败

我错过了什么？我对 ssl 还很陌生，但现在阅读了一整天有关它的信息，但无法让它工作。

来自getcomposer satis site，我有这个信息，但不知道如何使用。

{
 "repositories": [
    {
        "type": "composer",
        "url": "https://example.org",
        "options": {
            "ssl": {
                "local_cert": "/home/composer/.ssl/composer.pem"
            }
        }
    }
 ]
}

问候。

Answer 1

There is a documentation page for this.

Composer 会在 Satis URL 中添加用户名。对我有用，我只是想绕过本地网络中无用的默认密码服务器。有一个只读帐户，我用过。

另外：公司中的每个开发人员在存储库服务器上都有一个帐户，并且在保护下载的 ZIP 文件时没有太多用处，而且更加安全。 Composer 本身目前不支持任何代码签名方法或哈希比较，因此无法知道包是否在存储位置或传输过程中被篡改。

根据文档，不在 URL 中提供凭据将使 Composer 要求提供凭据，或者您可以将它们添加到 auth.json。另一方面：将明文密码保存在专用文件中听起来不是最好的主意，而且不使用 HTTPS 传输密码更糟糕。

你必须定义你想要什么样的安全性。您要防范的目标或威胁场景是什么？