真正有效的组合是composer install --no-dev --optimize-autoloader + archive.excludes配置 + 系统级清理命令；archive.excludes在zip解压阶段跳过/tests/等路径，从源头杜绝文件落地，而find rm等命令补git clone或老旧包的缺口，二者协同方可安全瘦身。
没有“一键瘦身”的万能工具，真正有效的组合是 composer install --no-dev --optimize-autoloader + archive.excludes 配置 + 系统级清理命令；其他所谓“瘦身插件”要么功能重叠，要么引入新风险。
为什么 composer-cleaner 这类插件不推荐作为首选
它在安装后扫描并删除匹配路径（如 /tests/），但无法区分“可删”和“不能删”的测试目录：比如 monolog/monolog 的 tests/ 里包含 Handler 示例类，有些项目 runtime 会动态加载它们；删掉就直接 Class not found。更麻烦的是，它不改 vendor/autoload.php 或类映射，autoload 仍可能尝试加载已删路径下的文件，报错延迟到运行时才暴露。
实际建议：
- 优先用
archive.excludes—— 在 zip 解压阶段跳过，从源头杜绝文件落地 - 若必须用插件，选
roave/composer-dev-dependencies（只管 dev 包隔离）或干脆不用 - 别信“自动识别冗余语言包”的宣传，
translations/命名不统一，硬删容易漏或误伤
archive.excludes 怎么配才安全有效
这个配置只对 packagist 上的 dist 包生效（即走 zip 下载的包），不是所有包都支持。要让它起作用，必须先装插件：composer require --dev composer-archive-excludes。
在 composer.json 的 config.archive.excludes 下写过滤项，例如：
"config": {
"archive.excludes": [
"/tests/",
"/Tests/",
"/docs/",
"/documentation/",
"/.github/",
"/CHANGELOG.md",
"/README.md"
]
}
注意：
- 路径必须以
/开头且结尾，否则匹配失败 - 它不会影响
require-dev中的包——那些得靠--no-dev控制 - 改完要跑
composer update --lock再composer install，否则旧 lock 文件会跳过该逻辑
哪些系统命令能补上 archive.excludes 漏掉的缺口
archive.excludes 对 git clone 的包、本地 path repo、或没维护 .gitattributes 的老包完全无效。这时得靠部署脚本补刀：
删测试与文档：
find vendor/ -path "*/tests" -o -path "*/Tests" -o -path "*/test" -o -path "*/Test" -type d -exec rm -rf {} + 2>/dev/null
删元数据和说明文件：
find vendor/ -name "*.md" -o -name "*.txt" -o -name "README*" -o -name "CHANGELOG*" -delete
删 Git 目录（仅当确认没用到 VCS 功能时）：
find vendor/ -name ".git" -type d -exec rm -rf {} + 2>/dev/null
关键提醒：
- 绝不能删
vendor/autoload.php和vendor/composer/autoload_*.php，否则整个 autoloading 失效 - 删之前先
du -sh vendor/* | sort -hr | head -10定位大户，避免无差别清理拖慢 CI - 某些包（如
laravel/framework）把资源放resources/lang，删/lang/要按包名单独处理，不能全局扫
怎么验证瘦身是否真的生效
别只看体积数字下降了多少，重点查三件事：
- 执行
ls -la vendor/，确认phpunit/、phpstan/、roave/security-advisories/这些典型 dev 包目录不存在 - 进
vendor/composer/，打开autoload_classmap.php，搜索Tests\或PhpCsFixer\，确保没残留映射 - 上线后立刻跑一次
php -d display_errors=1 -d error_reporting=-1 -r "var_dump(class_exists('MonologHandlerStreamHandler'));"，验证核心类仍可加载
最常被忽略的一点：Docker 构建时，如果 COPY composer.json composer.lock ./ 和 RUN composer install 不在同一层，或者 composer.lock 是开发机生成未更新，--no-dev 就形同虚设——体积没减，问题全留到运行时爆发。
