composer install 默认安装 require 和 require-dev 中所有依赖；必须使用 --no-dev 参数才能跳过开发依赖，环境变量无效，且需配合清理目录和重生成 autoloader。
composer install 默认装哪些依赖
默认情况下 composer install 会安装 require 和 require-dev 里所有包，不管当前环境是开发还是生产。这在部署时很危险——比如你上线服务器，却把 phpunit、larastan 这类开发工具也装上去了，既浪费磁盘空间，又可能引入不必要的扩展依赖或安全面暴露点。
真正决定装什么的，不是环境变量，而是命令参数和 composer.lock 文件本身的记录方式：
-
composer.lock里明确区分了packages（生产）和packages-dev（开发）两块 - 但
composer install默认读取全部，除非你告诉它“别碰 dev 那部分”
必须用 --no-dev 才能跳过开发依赖
只靠设置 COMPOSER_DEV=0 或改 APP_ENV=production 是没用的——Composer 不看这些。唯一可靠的方式就是加 --no-dev 参数：
composer install --no-dev
这个参数的作用很直接：跳过 packages-dev 区块，不解析、不下载、不安装任何 require-dev 下的包，连它们的依赖树都不展开。
常见误操作：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 写成
--nodev（少了个短横）→ 报错：Unrecognized option "--nodev" - 在
composer update后忘记加--no-dev就跑install→ 依然会装 dev 包（因为 lock 文件里还记着） - CI/CD 脚本里漏掉该参数，导致测试镜像体积暴增、启动变慢
composer create-project 怎么避免带 dev 依赖
新建项目时，composer create-project 默认行为和 install 一样，也会拉全量依赖。如果你只是想快速搭个干净的运行环境（比如部署 Laravel 应用），得主动加参数：
composer create-project laravel/laravel myapp --no-dev
注意两点：
-
--no-dev必须放在 project 名称之后、目录名之前，否则会被当成传给 installer 的参数而失效 - 有些包的
installer脚本（如 Laravel 的post-root-package-install）可能依赖 dev 工具（比如npm），这时加--no-dev可能导致脚本失败——得看具体项目是否把构建逻辑混进了 composer 钩子
为什么 vendor/autoload.php 在 --no-dev 下仍能加载 dev 类
这是最容易被忽略的一点：加了 --no-dev 只控制「安装」，不控制「自动加载规则」。如果 composer.json 的 autoload-dev 里写了 "psr-4": {"Tests\": "tests/"}，那么即使 tests/ 目录下没装任何包，只要文件物理存在，vendor/autoload.php 仍然注册了这条映射。
后果是：代码里 new TestsFooTest() 不会报错（类能找到），但实际运行时可能因缺少依赖而崩溃。所以：
- 部署前建议清理无用目录（如
rm -rf tests/、rm -rf vendor/bin/phpunit） - 更稳妥的做法是在生产环境用
composer dump-autoload --no-dev，它会生成一个不含autoload-dev规则的 autoloader - 某些框架（如 Symfony）的
bin/console会检查debug模式并动态禁用某些命令，但这和 Composer 的加载机制无关，别混淆
真正要确保生产环境“干净”，不能只靠一个参数，得配合目录清理、autoloader 重生成、甚至 CI 构建阶段就分离 install 步骤。
