--no-dev必须与--optimize-autoloader联用，否则仍扫描tests等dev路径；二者再加--classmap-authoritative才禁用fallback、实现零I/O类加载，缺一不可。
--no-dev 不是可选参数，而是生产部署的强制开关；漏掉它，phpunit、debug-bundle 等包会直接进 vendor，类加载变慢、体积暴涨、调试接口暴露全成定局。
为什么 --no-dev 必须和 --optimize-autoloader 一起用
单独加 --no-dev 只跳过 require-dev 里的包下载和 autoload-dev 注册，但不会重生成类映射表。结果就是：vendor/ 里没 phpunit，可 autoloader 仍会按 PSR-4 规则反复扫描 tests/ 目录，每次请求多出 1ms+ I/O 开销。
-
--optimize-autoloader（或-o）强制把所有可发现类写进vendor/composer/autoload_classmap.php，绕过文件系统遍历 - 不加它，
class_exists('App\Http\Controllers\Home')每次都要 stat() 十几个路径，线上 QPS 高时明显卡顿 - 二者必须同时出现：
composer install --no-dev --optimize-autoloader才算真正生效
classmap-authoritative 是性能与安全的分水岭
加了 --optimize-autoloader 还不够——autoloader 默认仍 fallback 到 PSR-4 扫描。只有加上 --classmap-authoritative，才会彻底禁用扫描逻辑，只查 autoload_classmap.php。
- 启用后，
vendor/composer/autoload_real.php中的findFile()方法只剩if ($classMap = $this->classMap)分支 - 性能提升明显：autoload 耗时从平均 0.8ms 降到 0.03ms，但代价是“零容错”——动态拼类名如
class_exists('Tests' . $name)会直接返回 false - 必须在
composer.json的config块里显式写"classmap-authoritative": true，否则composer update后可能丢失
vendor 里哪些文件删不掉就等于白配
composer install --no-dev --optimize-autoloader --classmap-authoritative 只控制“装什么”，不管“留什么”。这些残留不清理，轻则泄露源码结构，重则被利用执行命令：
-
vendor/bin/：全删。除非你明确需要phinx或doctrineCLI 在线运行 -
vendor/**/tests/、vendor/**/Test/、vendor/**/Tests/：全部递归删除，防止路径遍历读取测试用例 -
vendor/**/.git、vendor/**/phpunit.xml、vendor/**/psalm.xml：暴露开发配置和项目结构 -
vendor/composer/installed.json：含所有包的完整版本、哈希、依赖树，攻击者可精准匹配已知漏洞 - Linux/macOS 下推荐显式清理：
rm -rf vendor/bin vendor/*/tests vendor/*/docs vendor/composer/installed.json
CI/CD 和 Docker 构建中最容易翻车的三件事
自动化流程里一个疏忽，镜像就多出 50MB、启动变慢、甚至暴露 /vendor/bin/phpunit 入口：
- Dockerfile 中必须先
COPY composer.json composer.lock ./，再立刻RUN composer install --no-dev --optimize-autoloader --classmap-authoritative --no-interaction --prefer-dist；中间插任何composer update或其他命令，都可能污染 lock 文件 - CI 脚本里要验证 lock 是否干净：
grep -q '"require-dev"' composer.lock && echo "lock is dirty" || echo "safe" - 多阶段构建时，build 阶段也得加
--no-dev；否则即使 final 阶段只 COPY vendor，复制过来的仍是带 dev 包的
真正难的不是记命令，而是每一步都得确认：lock 文件是否 clean、vendor 是否真被清理、autoload_classmap.php 是否包含你新加的命令类——少一环，线上就可能报 Class not found 或首页超时。
