不能手动编辑 composer.json 移动包，因为 Composer 的 autoload、依赖解析和 lock 文件更新均需命令行触发；正确做法是先 composer remove 再 composer require --dev，否则会导致加载异常或依赖残留。
直接改 composer.json 里的 "require" 到 "require-dev" 不行，Composer 会报错或不生效——必须用命令行操作，否则依赖关系会断裂、自动加载失效。
为什么不能手动编辑 composer.json 移动包？
Composer 的自动加载（autoload）、依赖解析、版本锁定（composer.lock）都依赖于包在哪个区块里。手动挪动只是改了 JSON 结构，但没触发重新生成 autoload、没更新 lock 文件、也没通知 Composer “这个包现在只在开发时需要”。结果就是：vendor/autoload.php 仍包含它（导致生产环境意外加载），composer install --no-dev 仍会装它，甚至可能引发类找不到或冲突。
正确做法：用 composer require 带 --dev 重装
本质是“删旧装新”：先卸载原包，再以 dev 依赖方式重装。Composer 会自动处理 autoload、lock 和 vendor 更新。
- 运行
composer remove vendor/package-name（例如composer remove monolog/monolog） - 再运行
composer require --dev vendor/package-name（如composer require --dev phpunit/phpunit） - 如果该包已有
autoload配置（比如 PSR-4 映射），它会被保留在autoload-dev区块下，不影响开发时的类加载 - 执行后检查
composer.lock中该包是否出现在packages-dev而非packages下
常见错误现象和对应检查点
移完发现命令行能跑、但 Web 请求报 Class not found？或者 composer install --no-dev 还是装了那个包？大概率踩了这些坑：
-
composer.json里有重复条目：手动加过一次又用命令加了一次，导致require和require-dev同时存在同个包 → 用composer show vendor/package-name确认是否唯一 - 没删干净：
composer remove失败但你没注意输出（比如包名拼错、或已被其他依赖间接引入）→ 查composer depends vendor/package-name看是否被强依赖 - 用了
composer require --dev却没先remove→ Composer 默认行为是“添加”，不是“迁移”，结果变成双份 - CI/CD 环境执行
composer install时漏了--no-dev参数 → 生产部署仍会装 dev 包，这不是迁移问题，是部署配置问题
性能与兼容性影响
移到 require-dev 后，最直接的影响有两个：
-
vendor/autoload.php不再默认加载它的 PSR-4/PSR-0 规则（除非你显式把映射写进autoload-dev）→ 开发时需确保测试类、命令行工具等仍能被找到 -
composer install --no-dev时，该包及其全部递归依赖都不会下载、不会写入vendor/→ 减少生产环境体积和潜在攻击面 - 注意：某些包（如
symfony/console）如果被主逻辑实际调用，移到 dev 后会导致运行时报错，得确认它是否真只用于开发场景（比如 CLI 工具、数据迁移脚本）
真正麻烦的不是操作步骤，而是判断一个包“到底算不算 dev 依赖”——它有没有被 src/ 下的业务代码 new 或 use？有没有被框架配置文件引用？这些地方漏查，改完就炸。
