生产环境 autoload 慢主因是 vendor/autoload.php 加载时反复扫描目录、构建映射并触发大量 stat()/file_exists()；真正有效优化是精准控制 classmap 内容、禁用 dev 依赖，并严格使用 composer install --optimize-autoloader --no-dev --classmap-authoritative 部署。
生产环境 autoload 慢，90% 不是类加载本身拖慢，而是 vendor/autoload.php 加载时反复扫描目录、构建映射、触发大量 stat() 和 file_exists()。真正有效的优化不是“多加几个 -o”，而是精准控制 classmap 内容、禁用 dev 依赖，并用对命令——composer install --optimize-autoloader --no-dev 是唯一可靠路径。
为什么 composer dump-autoload -o 在生产环境不安全
Composer 2.0+ 中，dump-autoload -o 已不再是生成完整 classmap 的命令，它只是 --classmap-authoritative 的别名，行为已彻底改变：强制跳过 PSR-4 fallback，但又不保证 classmap 覆盖全部类。结果就是：
- 空目录、条件加载的类、
"files"类型引入的辅助函数里 new 出来的类，极易漏进 classmap - 部署后报
Class not found，但错误堆栈不指向真实问题（比如命名空间末尾少反斜杠） -
vendor/autoload.php里查不到'classmap-authoritative' => true，说明根本没生效 - CI/CD 构建用这个命令，本地能跑、线上炸锅是常态
composer install --optimize-autoloader --no-dev --classmap-authoritative 到底做了什么
这条命令不是“多个参数堆一起”，而是一套协同生效的加固逻辑：
-
--no-dev：跳过require-dev所有包（如 phpunit、larastan），同时确保它们的 autoload 规则（尤其是autoload-dev块）完全不参与 classmap 构建 -
--optimize-autoloader：在 install/update 阶段真正扫描所有 PSR-4 目录，把匹配类写入vendor/composer/autoload_static.php（Composer 2 默认格式），结构紧凑、OPcache 友好 -
--classmap-authoritative：让 autoloader 完全信任静态映射，删掉所有foreach ($this->prefixesPsr4循环逻辑，只保留if ($classMap = $this->classMap)分支
验证是否生效：打开 vendor/composer/autoload_real.php，如果 findFile() 方法只剩一个 if 分支且无任何 foreach，才算真正“权威”。
classmap 越大越快？错，容易拖慢冷启动
很多人以为 classmap = 快，但实际它可能成为性能瓶颈：
- 若
autoload_classmap.php达数 MB（常见于误扫tests/、docs/、examples/），每次请求都要全量 require 进内存 - 单次请求通常只用到其中不到 5% 的类，相当于为查一个电话号码背整本黄页
- 检查
composer.json中无效 autoload 配置："tests/": ["tests/"]、"docs/": ["docs/"]、"": ["lega"]—— 全部删掉 - PSR-4 前缀要精简：把
"App\Http\Controllers\": "app/Http/Controllers/"和"App\Http\Middleware\": "app/Http/Middleware/"合并为"App\Http\": "app/Http/"
APCu、OPcache、preload 怎么配才不翻车
这些不是“开了就快”的开关，而是有硬约束的增强项：
-
--apcu-autoloader：仅 Web 环境有效（CLI 不共享 APCu），且必须确认apc.enable_cli=0（避免 composer 命令污染缓存） - OPcache 必须开启：
opcache.enable=1+opcache.validate_timestamps=0（生产环境关时间戳校验） -
opcache.preload不是 autoloader 替代品：preload.php 里禁止class_exists()、eval()、动态类名；不能require vendor/autoload.php；必须先有可靠的autoload_static.php，再手动require_once关键类文件
最常被忽略的是：classmap 是否真覆盖了所有运行时需要的类——尤其 Laravel 中通过 AppServiceProvider::boot() 动态绑定的接口实现，本身不对应真实类文件，自然不在 classmap 里，这跟 --classmap-authoritative 无关，是设计使然。
