生产环境禁止运行 composer install，因其引发权限、php 版本不一致及敏感文件暴露三类不可控风险；必须用五个参数组合安装并清理无用文件，且严格校验 classmap-authoritative 生效。
在生产环境下直接运行 composer install 不安全，也根本不应该发生——它不是“不够安全”，而是根本违反部署边界，属于不可接受的操作。
为什么生产机上跑 composer install 是硬性禁止
这不是性能或习惯问题，而是三类不可控风险叠加：
-
file_put_contents(./composer.json): failed to open stream: Permission denied：不是 Composer 报错，是部署用户对vendor/或composer.lock没写权限；但错误堆栈藏得深，排查常卡在 PHP 配置、SELinux、Nginx 用户组，耗时远超预估 - 本地 PHP 8.2，线上是 8.1：
Your platform does not meet the requirements直接中断部署，CI 流水线卡死，无人值守发布失败 -
composer.json或.env被 Nginx 错误配置暴露，几秒内数据库密码、API 密钥全进攻击者手里——而composer install过程中这些文件必然存在且可读
composer install --no-dev --optimize-autoloader --classmap-authoritative --no-interaction --prefer-dist 必须一起用
这五个参数互锁生效，漏一个就可能让服务响应变慢、偶发 500 或自动化挂起：
-
--no-dev：跳过require-dev所有包（phpunit、symfony/debug-bundle），否则它们会进autoload.php，带来类加载变慢 + 潜在调试入口暴露 -
--optimize-autoloader：生成vendor/composer/autoload_classmap.php，把类名直连文件路径，单次类加载从平均 1.2ms 降到 0.05ms；不加它，高并发下 autoload 就是 I/O 瓶颈 -
--classmap-authoritative：替代已废弃的--optimize，强制 autoloader 只查 classmap，不 fallback 到文件扫描——性能更高，但要求所有类必须被收录进 map（PSR-4/0 自动覆盖，files类型需手动确认） -
--no-interaction：防止遇到平台提示（如 “Do you want to store credentials for github.com?”）卡住 CI，尤其 Docker 构建时直接超时失败 -
--prefer-dist：强制下 zip 包，避免部署机上git clone失败（跨区域网络、SSH key 缺失、私有 GitLab 未配 archive endpoint）
装完还得删：vendor/ 里哪些东西必须清理
composer install --no-dev --optimize-autoloader 是底线，但光靠它远远不够。真正该删的是这些：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
vendor/bin/——全部删除（除非你明确需要某个二进制如phinx在线上运行） -
vendor/**/tests/、vendor/**/Tests/、vendor/**/test/、vendor/**/Test/ vendor/**/{.git,.gitignore,.travis.yml,phpunit.xml,phpstan.neon,psalm.xml}-
vendor/**/docs/、vendor/**/examples/、vendor/**/demo/ -
vendor/composer/installed.json——含完整包版本与哈希，泄露可辅助攻击者判断组件漏洞
Linux/macOS 下可用：find vendor -path '*/tests' -o -path '*/.git' -o -name 'phpunit.xml' -delete；CI/CD 中建议用 rm -rf 显式声明，避免依赖 glob 模糊匹配漏删。
部署脚本里最容易忽略的三件事
命令写对了不等于部署成功，顺序和上下文决定成败：
- 必须先
git checkout $TAG，再跑composer install——否则composer.lock和代码版本不一致，线上可能降级关键包 - 不能依赖本地
composer.lock是否存在：有些团队把 lock 文件.gitignore了，结果部署时自动 fallback 到composer update，破坏可重现性 -
"classmap-authoritative": true必须写进composer.json的config块，否则composer update后可能丢失；验证方式：检查vendor/composer/autoload_classmap.php是否存在且非空，再看vendor/autoload.php里是否包含'classmap-authoritative' => true
最常被跳过的验证点是：运行时动态拼接类名（如 new $prefix . 'Command'）在启用 --classmap-authoritative 后会直接 Class not found，因为 autoloader 不再尝试查找——这种逻辑不会在本地报错，只在线上崩。
