不是包太大，是 composer 解析依赖时将整个依赖图载入内存；必须通过限制内存、禁用 dev/插件、锁定 lock、收紧版本约束来降低 sat 求解器输入规模。
直接结论：不是包太大，是 Composer 在解析阶段把整个依赖图全塞进内存——拆分依赖本身不能绕过这个过程，必须配合内存提限 + 解析范围收缩才能生效。
为什么“拆分大包”对内存溢出基本无效
很多人以为把 monolog、symfony/console 这类“大包”单独拎出来装就能减内存，其实错了。Composer 的 Resolving dependencies 阶段不看包体积，而是在内存里构建所有包的版本约束集合（SAT 求解），哪怕你只 require 一个包，只要它依赖 200 个其他包（且含宽松约束如 "^2.0 || ^3.0"），内存照样爆。常见误操作包括：
- 用
composer create-project vendor/package单独拉包，但没加--no-dev --no-plugins，结果 dev 依赖照常参与解析 - 在子模块里跑
composer install，却没删掉根目录的composer.lock，导致 Composer 尝试跨项目合并依赖图 - 以为
"minimum-stability": "stable"能压内存——它只影响版本选择，不减少候选版本数量
真正能降低解析内存的三个硬招
这些操作直击 SAT 求解器的输入规模，实测在 Laravel + 80+ 私有包项目中将内存峰值从 2.1G 压到 850M：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
php -d memory_limit=1G composer install --no-dev --no-plugins --optimize-autoloader：先保底提限，再砍掉 dev 依赖解析和插件加载（插件常带未释放的闭包对象） - 在
composer.json顶层加"config": {"lock": true}：强制跳过因本地 PHP 版本、扩展差异触发的重解析（尤其在 CI 中多 PHP 版本混跑时） - 把宽泛约束收紧，例如把
"symfony/console": "^5.0 || ^6.0"改成"symfony/console": "^6.4"：直接减少 SAT 求解器要遍历的版本组合数
CI/CD 流水线里必须禁用的两个行为
很多团队在 GitHub Actions 或 GitLab CI 里踩坑，不是配置不够，而是默认行为太“热心”：
- 别让 runner 自动执行
composer update：它会读取旧composer.lock并尝试兼容所有历史版本，内存开销翻倍。应固定用composer install --no-interaction - 别依赖
COMPOSER_MEMORY_LIMIT环境变量：它只在 Composer 初始化后才读取，而内存耗尽往往发生在初始化前的 JSON 解析阶段。必须用php -d memory_limit=2G才可靠
当以上都做了还爆内存，说明依赖图已畸形
这时不是调参问题，而是架构信号：你的 composer.json 可能混入了不该存在的约束。检查以下三点：
- 运行
composer show --tree | head -20，看是否出现同一包被多个路径重复引入（如monolog/monolog出现 3 次以上） - 执行
composer prohibits vendor/package-name，确认有没有循环 require 或冲突的稳定性标记（比如dev-master和stable同时存在） - 删掉
vendor/和composer.lock，用php -d memory_limit=3G composer install --no-dev -o重建——如果这步都失败，说明某包的composer.json本身写了爆炸式约束（如"*"或"@dev"）
最易被忽略的是：Composer 2.9.6 虽优化了 SAT 算法，但不会帮你修复错误的约束写法。内存不爆，不代表依赖健康；爆了，一定是某处约束在悄悄放大搜索空间。
