composer install --no-dev --optimize-autoloader 是生产环境打包的底线要求：它跳过 require-dev 包（如 phpunit），避免安全与冗余风险，并生成静态类映射表，显著提升类加载性能；漏用会导致 Class not found 或首页超时。
composer install --no-dev --optimize-autoloader 是生产打包的底线
不加这两个参数，打包出来的项目在目标机器上大概率跑不起来，或者性能极差。--no-dev 会跳过 require-dev 里的包（比如 phpunit、phpstan），避免把测试工具带到线上；--optimize-autoloader 则强制生成类映射表，绕过文件系统扫描，类加载快一倍以上。
常见错误现象：Class not found 报错，或首页加载慢到超时——往往就是漏了 --optimize-autoloader，导致自动加载器反复遍历 vendor 目录。
- 必须在目标环境（或构建机）上执行，不能只在本地跑一遍就打包
- 如果项目用了 PSR-4 自动加载，确认
composer.json中autoload段已正确定义，否则优化后反而找不到类 - 搭配
"classmap-authoritative": true配置更稳妥，它会让 Composer 完全信任类映射，不再 fallback 到文件扫描
用 tar 打包前，先清理无关文件再压缩
直接 tar -czf project.tar.gz * 很危险：可能把 .env.local、vendor/composer/installed.json、tests/、甚至 .git/ 全塞进去，既泄露敏感信息，又增大体积。
推荐在项目根目录写一个最小化打包命令：
tar -czf release-$(date +%Y%m%d).tar.gz \ --exclude='.git' \ --exclude='tests' \ --exclude='docs' \ --exclude='*.md' \ --exclude='*.log' \ --exclude='.env*' \ --exclude='phpunit.xml' \ --exclude='docker-compose.yml' \ --exclude='Dockerfile' \ .
注意：vendor/ 必须保留（前提是已运行过 composer install --no-dev --optimize-autoloader），但要确保 composer.lock 在包内——它是依赖版本锁定的唯一依据。
分发时别传整个 vendor，优先考虑 PHAR 或私有仓库
把几 MB 的 vendor/ 目录连同源码一起 tar 打包，适合一次性交付；但长期维护、多项目复用时，这种方式很快失控。更可持续的做法是：
- 走 Packagist +
composer require your-vendor/your-package：别人只需一条命令就能拉取，自动处理 autoload 和依赖树 - 私有场景下，用
se/selenium-server-standalone这种思路：把二进制或 JAR 封装成 Composer 包，安装后自动放到vendor/bin/下，调用./vendor/bin/xxx即可启动 - 对 CLI 工具类项目，用
box打成单文件.phar：包含全部代码、优化后的 autoload、入口 stub，直接php mytool.phar运行，彻底脱离 vendor 依赖
PHAR 方案看似重，但对交付“开箱即用”的运维脚本、部署工具、诊断工具特别有效——用户不用装 PHP 扩展、不用配环境变量，只要 PHP 版本够，就能跑。
远程部署时，别在服务器上 git pull
很多团队习惯在生产机上执行 git pull origin main，再跑 composer install。这有三个硬伤：网络不稳定导致拉取中断、权限混乱（web 用户 vs 部署用户）、无法回滚到精确 commit。
真正可控的做法是：本地或 CI 构建好完整 release 包（含 vendor），scp 上传，解压覆盖。关键点：
- 解压命令要用
tar -xzf release.tar.gz --strip-components=1 -C /var/www/html/，避免多一层目录嵌套 - 上传前校验 md5 或 sha256，防止传输损坏
- 用
rsync --delete替代简单解压，能安全清理旧文件（比如删掉已废弃的 migration 文件） - 如果必须保留部分配置（如
.env），解压后立刻从备份恢复，别让它被覆盖
最易被忽略的是权限和 SELinux 上下文：解压后 storage/ 和 bootstrap/cache/ 目录常因用户切换丢失写权限，或被 SELinux 拦截——chown -R www-data:www-data storage bootstrap/cache 和 restorecon -Rv storage 得写进部署后脚本里。
