Composer PHP项目部署流程_Composer生成生产环境配置【部署】-composer-PHP中文网

生产环境严禁运行composer install，必须在构建阶段完成依赖安装并整体同步代码包，否则将引发权限错误、环境漂移和敏感信息泄露三类严重问题。

composer php项目部署流程_composer生成生产环境配置【部署】

生产环境不能直接运行 composer install，必须在构建机（CI/CD 或本地）完成依赖安装、清理和打包，再整体同步到目标服务器——这是避免权限错误、环境漂移和敏感信息泄露的硬性前提。

为什么生产机上跑 `composer install` 必然出问题

看似省事，实则触发三类不可控故障：

file_put_contents(./composer.json): failed to open stream: Permission denied：不是 Composer 报错，是 web 用户（如 www-data）对 vendor/ 或 composer.lock 没写权限，排查耗时远超预估
Your platform does not meet the requirements：本地 PHP 8.2，线上还是 8.1，platform-check 直接中断部署
Nginx 配置稍有疏漏（如未禁用 .env），攻击者几秒就能下载到数据库密码、API 密钥

`composer install` 必须带的四个参数

它们互锁生效，漏一个就可能让服务响应变慢、偶发 500 或 CI 卡住：

--no-dev：跳过 require-dev 中所有包（如 phpunit、symfony/debug-bundle），否则它们会进 autoload.php，拖慢类加载 + 暴露调试入口
--optimize-autoloader（或简写 -o）：生成 vendor/composer/autoload_classmap.php，把类名直连文件路径，单次类加载从平均 1.2ms 降到 0.05ms；不加它，高并发下 autoload 就是 I/O 瓶颈
--classmap-authoritative：替代已废弃的 --optimize，强制 autoloader 只查 classmap，不 fallback 到文件扫描——性能更高，但要求所有类必须被收录进 map（PSR-4/0 自动覆盖，files 类型需手动确认）
--no-interaction（或简写 -n）：防止遇到平台提示（如“Do you want to store credentials for github.com?”）卡住 CI，尤其 Docker 构建时直接超时失败

装完还得删：`vendor/` 里哪些东西必须清理

composer install --no-dev --optimize-autoloader 是底线，但光靠它远远不够。真正该删的是这些：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

vendor/bin/——全部删除（除非你明确需要某个二进制如 phinx 在线上运行）
vendor/**/tests/、vendor/**/Tests/、vendor/**/test/、vendor/**/Test/
vendor/**/{.git,.gitignore,.travis.yml,phpunit.xml,phpstan.neon,psalm.xml}
vendor/**/docs/、vendor/**/examples/、vendor/**/demo/
vendor/composer/installed.json——含完整包版本与哈希，泄露可辅助攻击者判断组件漏洞

Linux/macOS 下可用：find vendor -path '*/tests' -o -path '*/.git' -o -name 'phpunit.xml' -delete 快速清理；CI/CD 中建议用 rm -rf 显式声明，避免依赖 glob 模糊匹配漏删。

部署后必须验证，不能只信命令行输出

命令跑完不代表成功——得进服务器或容器里看真实结果。常见误判是看到 vendor/autoload.php 还在，就以为一切正常。

执行：ls vendor/ | grep -E "phpunit|mockery|symfony\/debug"，输出应为空
运行：composer show --dev，应提示 “No dependencies installed for development” 或直接报错 “Command 'show' is not defined”
检查 vendor/composer/autoload_static.php 或 autoload_classmap.php，确认里面没有来自 tests/ 或 Tests/ 的路径映射（否则说明 autoload-dev 规则仍被加载）
Nginx 必须显式禁止访问：location ~ /\.(env|json|lock|git|hg|svn)$ { deny all; }、location ^~ /vendor/ { return 403; }、location = /composer.json { return 403; }

最易被忽略的一点：--classmap-authoritative 要求所有类必须出现在 classmap 中；如果项目用了 "files": ["src/helpers.php"] 这类手动加载项，又没在 composer dump-autoload --classmap-authoritative 后重新生成，上线后就会报 Class not found——这种错误不会在构建阶段暴露，只在首次请求时发生。