workerman不能直接使用composer自动加载第三方sdk，必须手动引入autoload.php并谨慎集成；阿里云、腾讯云等sdk因同步阻塞设计易卡住事件循环，应通过子进程或消息队列解耦，密钥须从环境变量动态加载且严禁硬编码。
Workerman 里不能用 Composer 自动加载第三方 SDK
Workerman 本身不走 Composer 的自动加载机制，require_once './Workerman/Autoloader.php' 是它唯一认的入口。如果你用 composer require alibabacloud/client 或 composer require tencentcloud/tencentcloud-sdk-php，这些包会被放进 vendor/，但 Workerman 启动脚本（如 start.php）根本不会自动加载它们——除非你手动 require 或 include 对应文件，否则运行时直接报 Class not found。
更麻烦的是：阿里云部分 SDK（比如 alipaysdk）在 PHP 8.1 下存在兼容问题，composer update 可能悄悄降级或跳过关键类；腾讯云 IM 的 PHP SDK 并非为 Workerman 场景设计，它内部可能依赖同步 HTTP 客户端（如 cURL 阻塞调用），在长连接 Worker 进程里反复调用容易卡住整个事件循环。
- 别在
onMessage回调里直接 new 一个TencentCloud\IM\IMClient实例发消息 - 别把
AlibabaCloud\Client\AlibabaCloud初始化逻辑写在 Worker 构造函数外层——它可能被多次重复初始化 - 如果必须用，统一在
onWorkerStart里完成 SDK 客户端单例创建，并绑定到$worker属性上，避免每次连接都重建
腾讯云 IM SDK 的 PHP 版本不是给 Workerman 准备的
官方明确只提供 Android/iOS/Windows/macOS/Flutter/Web 端 SDK，没有维护 PHP 版本的 IM SDK。你在网上搜到的所谓“腾讯云 IM PHP SDK”，基本是社区魔改版或旧版 TIM 接口封装，既不更新、也不保证鉴权逻辑合规，更不支持新版 imsdk-plus 的 token 签发与刷新流程。
真实可用路径只有一条：Workerman 做好 WebSocket 通信网关，把用户登录态、消息收发全部代理出去，后端另起一个独立的、基于 Laravel/Symfony 或纯 PHP CLI 的「IM 业务中台」，由它调用腾讯云 REST API（如 /v4/im_open_login_svc/account_import）完成账号导入、消息发送等操作。这个中台用标准 HTTP 客户端（Guzzle、curl_multi）+ JWT 签名 + 异步队列（Redis List / RabbitMQ）解耦，才能真正稳住。
- Workerman 进程里禁止直接调用
file_get_contents("https://xxx.tencentcloudapi.com")—— 它会阻塞当前连接 - REST API 的
Content-Type: application/json; charset=utf-8和签名头（Authorization,X-TC-Timestamp）必须严格按文档生成，少一个字段就401 Unauthorized - 腾讯云要求每个请求携带有效
SDKAppID和UserSig，而UserSig有效期建议设为 24 小时，不能硬编码在代码里
阿里云 OSS/短信 SDK 在 Workerman 中要绕开同步 IO
阿里云官方 PHP SDK 默认使用 GuzzleHttp 6.x，底层是阻塞式 cURL。在 Workerman 的单进程事件循环里，一次 $ossClient->putObject() 可能卡住几十毫秒甚至几秒，导致其他客户端连接无法及时响应。这不是 SDK 写得不好，而是设计目标不同——它面向的是传统 PHP-FPM 请求生命周期，不是常驻内存的异步服务。
安全做法是把耗时操作扔出 Worker 主循环：用 pcntl_fork() 派生子进程处理上传，或更推荐的方式——把上传任务推到 Redis 队列，由单独的 php worker.php start 进程消费。这样主 Worker 只负责快速接收消息、校验参数、入队，不碰任何网络 IO。
- 不要在
onMessage里调用Aliyun\Sms\SmsClient::sendSms() - 不要用
sleep()或usleep()等待阿里云回调结果——Workerman 没有“等待”概念 - 如果必须同步调用（比如紧急告警），至少加超时：
stream_context_set_default(['http' => ['timeout' => 3]])，并捕获Exception防止进程崩溃
所有第三方 SDK 的密钥都不能硬编码或放配置文件里
Workerman 进程常驻内存，一旦你把 AK/SK 写死在 start.php 或 .env 里，只要进程不重启，密钥就一直躺在内存里。攻击者通过 gdb attach 或 /proc/$pid/environ 就可能直接 dump 出来。更危险的是，很多开发者习惯把 .env 提交到 Git，导致密钥全网公开。
正确姿势是：密钥从环境变量读取（getenv('ALIYUN_OSS_ACCESS_KEY_ID')），且服务器部署时用 systemd 的 EnvironmentFile=/etc/secrets/workerman.env 加载，该文件权限设为 600，仅 root 可读。腾讯云的 SDKAppID 和 SECRETKEY 同理，还要配合 KMS（密钥管理服务）做动态解密——Workerman 启动时调一次 KMS API 获取明文，用完即弃，不缓存。
- 禁止在日志里打印
AK、SK、UserSig、SecretKey—— 即使是error_log() - 禁止用
var_dump($config)调试时泄露敏感字段 - Workerman 的
onWorkerStop回调里，记得 unset 掉所有含密钥的对象引用，协助 GC 尽快回收
