生产环境必须用 composer install --no-dev --optimize-autoloader --classmap-authoritative --no-interaction --prefer-dist，缺一不可；前者跳过dev包但不清autoload规则，后者生成classmap并禁用fallback扫描，二者联动才真正隔离dev依赖、杜绝类加载失败与i/o瓶颈。
生产环境必须用 composer install --no-dev --optimize-autoloader --classmap-authoritative --no-interaction --prefer-dist，缺一不可。这不是“性能调优”，而是防止类加载失败、I/O 瓶颈、权限混乱和安全暴露的底线操作。
为什么 composer install --no-dev 单独用等于没做
它只跳过 require-dev 里的包，但不会清理已生成的 autoload 规则——比如某个包在 autoload-dev 里注册了 tests/ 下的类，--no-dev 后这些路径仍保留在 vendor/composer/autoload_psr4.php 中，导致类映射错乱或白屏。
-
--no-dev必须搭配--optimize-autoloader：前者删包，后者重生成 classmap，二者联动才真正切断 dev 路径 - 不加
--no-interaction时，某些插件（如hirak/prestissimo）可能卡在交互提示上，CI 流水线直接超时 -
--prefer-dist不是可选：git clone 在部署机上极不稳定，尤其跨区域网络；zip 包校验快、解压快、无 git 依赖
--optimize-autoloader 和 --classmap-authoritative 的真实作用
前者生成 vendor/composer/autoload_classmap.php，把所有 PSR-4 类名直连文件路径；后者让 autoloader 彻底放弃 fallback 到目录扫描——性能提升明显，但代价是“零容错”。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 启用
--classmap-authoritative后，class_exists('SomeDynamicClass' . $suffix)这类运行时拼接类名的逻辑会直接失败，因为 autoloader 不再尝试查找 - 不是所有框架都兼容：Laravel 9+ 默认支持，但自定义命令或第三方包若依赖
files类型 autoload，则必须确保这些文件已被收录进 classmap（可用composer dump-autoload -a补全） - 验证是否生效：检查
vendor/composer/autoload_classmap.php是否存在且非空；再看vendor/autoload.php里是否包含'classmap-authoritative' => true
部署脚本里最容易漏掉的三件事
光写对命令不够，CI/CD 或手动部署脚本里常因顺序或上下文出错。
- 必须先
git checkout到目标 tag/branch，再执行composer install——否则composer.lock和代码版本不匹配，线上可能降级关键包 - 不能依赖本地
composer.lock是否存在：有些团队把 lock 文件.gitignore 了，结果部署时自动 fallback 到composer update，破坏可重现性 - 构建完必须清理冗余：仅靠
--no-dev不会删vendor/bin/、vendor/**/tests/、vendor/composer/installed.json，这些文件一旦被 web server 暴露，就是源码泄露入口
Nginx 配置里必须封死的路径
try_files $uri $uri/ /index.php?$query_string 对安全毫无帮助，它只管路由，不管文件下载。
-
location ^~ /vendor/ { return 403; }：用^~确保优先级高于~ \.php$，防目录遍历 -
location ~ /\.(env|json|lock|git|hg|svn)$ { deny all; }：覆盖所有敏感后缀，包括composer.json和.env -
location = /composer.json { return 403; }：等号匹配最高效，防 Nginx 版本差异导致的正则失效
少写一条，就等于把依赖树、测试结构甚至部分密钥主动交给爬虫。
