通过SSH Agent Forwarding可在CI/CD中安全访问私有Composer包，避免密钥暴露。1. 本地启动ssh-agent并加载私钥；2. 配置~/.ssh/config启用目标主机转发；3. 确保CI运行器的sshd_config允许AgentForwarding；4. Composer通过VCS仓库声明自动拉取代码，依赖SSH隧道完成认证，实现安全、临时的权限传递，符合最小权限原则。
在CI/CD流程中使用私有Composer包时，安全地授权访问是关键。通过SSH Agent Forwarding，你可以在不暴露私钥的前提下，让构建服务器临时获得对Git仓库的访问权限。这种方式避免了将SSH密钥硬编码或存储在CI环境中，显著提升安全性。
理解SSH Agent Forwarding的工作原理
SSH Agent Forwarding允许你在本地机器上持有SSH密钥，并通过跳板连接（如CI运行器）将认证请求转发到本地代理。当Composer尝试从私有VCS仓库克隆代码时，请求会经由SSH隧道传递回你的本地环境完成身份验证，而无需在远程服务器保存任何密钥。
这种机制依赖于SSH_AUTH_SOCK环境变量和Unix域套接字的转发，确保只有经过认证的会话能代表你执行操作。
配置本地与远程SSH环境
要启用Agent Forwarding，需确认本地SSH代理正在运行并已加载私钥：
- 启动ssh-agent：eval $(ssh-agent)
- 添加私钥：ssh-add ~/.ssh/id_rsa（或对应私钥路径）
- 检查是否已加载：ssh-add -l
同时，在~/.ssh/config中为目标主机启用转发：
Host git.yourcompany.comForwardAgent yes
在CI/CD环境中启用转发支持
多数CI系统默认禁用SSH Agent Forwarding出于安全考虑。若使用自托管Runner（如GitLab CI Runner），可在启动时启用SSH转发支持。
以GitLab Runner为例，在config.toml中配置executor为shell或docker+machine，并通过SSH连接Worker节点。确保Worker系统的sshd_config包含：
AllowAgentForwarding yes然后通过SSH登录该节点运行构建任务，即可继承本地的SSH身份。
配置Composer使用SSH克隆私有仓库
{"repositories": [
{
"type": "vcs",
"url": "git@git.yourcompany.com:your-team/private-package.git"
}
],
"require": {
"your-team/private-package": "^1.0"
}
}
只要SSH Agent Forwarding生效，Composer就能通过原生Git命令拉取代码，无需额外配置令牌或部署密钥。
基本上就这些。只要打通SSH链路，Composer自然能透明访问私有仓库，整个过程既安全又符合最小权限原则。
