不能直接在运行镜像里用 composer install，因为运行镜像精简缺php扩展、编译工具和git，导致安装失败，且混入开发依赖会增大攻击面和体积；builder阶段须与运行时环境严格一致（php版本、扩展、ini配置），并通过多阶段仅复制vendor等必要文件，配合buildkit secret安全拉取私有包。
为什么不能直接在运行镜像里用 composer install
因为运行镜像通常基于 alpine 或精简 debian:slim，缺 PHP 扩展（如 mbstring、zip）、编译工具（gcc、make）甚至 git——而某些包（比如带 post-install-cmd 脚本或需要从 git 拉私有库的）会直接失败。更糟的是，你把开发依赖（require-dev）和构建工具全塞进生产镜像，增大攻击面和镜像体积。
builder 阶段必须装全 PHP + 扩展 + Composer
多阶段构建里，builder 镜像不是“能跑 composer 就行”，它得模拟真实安装环境：PHP 版本、扩展、ini 设置（比如 memory_limit）都得和运行时一致，否则 autoload 生成可能出错，或扩展相关类在运行时找不到。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 用和运行镜像同源的基础镜像（例如运行镜像用
php:8.2-apache，builder 就用php:8.2-cli） - 显式安装所有运行时需要的扩展：
docker-php-ext-install mbstring zip pcntl，别依赖镜像默认 - 设大内存限制：
php -d memory_limit=-1 /usr/bin/composer install --no-dev --optimize-autoloader - 确认
composer.lock已提交，且COMPOSER_HOME不指向共享卷（避免缓存污染）
COPY --from=builder 只复制 vendor/ 和生成文件，别复制整个项目
很多人把 COPY --from=builder /app /app 一锅端，结果把 composer.json、node_modules、临时文件甚至 .git 全塞进运行镜像。这不光增大体积，还可能暴露敏感信息或引发权限问题（比如 vendor/ 里某些脚本被意外执行）。
- 只复制必要路径：
COPY --from=builder /app/vendor /app/vendor - 如果用了
composer dump-autoload --classmap-authoritative，记得也复制生成的vendor/autoload.php和vendor/composer/autoload_classmap.php - 确保运行镜像里
/app目录已存在且权限合理（比如RUN mkdir -p /app && chown www-data:www-data /app）
私有包或 Git 仓库怎么安全拉取
builder 阶段要拉私有包，但又不能把 SSH key 或 token 硬编码进镜像层——哪怕只在 builder 阶段，Docker 构建缓存也可能泄露凭证。
- 用
BUILDKIT的secret机制：--secret id=github_token,src=./github.token，再在 Dockerfile 里用RUN --mount=type=secret,id=github_token composer config github-oauth.github.com $(cat /run/secrets/github_token) - 避免用
git@URL；改用 HTTPS + token（https://token:x-oauth-basic@github.com/user/repo），配合 secret 注入 - 如果必须用 SSH，挂载
ssh-agentsocket（--mount=type=ssh），而不是复制私钥文件
composer install 报 Class not found，查半天发现是 builder 和运行镜像 PHP 版本差小数点（8.2.1 vs 8.2.10），或者 opcache.enable_cli=1 导致 autoloader 缓存异常——这些细节不打日志根本看不见。多阶段不是“拆成两段就完事”，关键在两端环境对齐。
