微服务架构中每个服务必须独立维护 composer.json 和 composer.lock，禁止共享 vendor 或跨服务 autoload；require 仅含运行时依赖，require-dev 严格限于开发工具，ci 必用 composer install --no-dev --optimize-autoloader --no-interaction，共享逻辑须发布为私有语义化版本包，psr 接口等关键依赖需全服务统一版本约束。
微服务架构里没有“Composer安装”这回事——每个服务必须独立装，且不能共享 vendor 或 composer.json。 把 Composer 当成微服务的“安装器”，是踩坑起点。
每个微服务必须有自己独立的 composer.json 和 composer.lock
常见错误是把所有服务塞进一个 Git 仓库，共用一份 composer.json，再靠目录结构区分服务。这本质仍是单体，只是加了命名空间。
- 真实微服务从物理隔离开始：
user-service、order-service各自一个 Git 仓库，根目录下都有自己的composer.json -
require字段只写本服务运行时真正需要的包，比如guzzlehttp/guzzle（调其他服务）、ext-pdo_pgsql（连自己库） -
composer.lock必须提交到各自仓库 —— 服务 A 锁monolog/monolog:v2.10，服务 B 锁v3.5，完全合法；共享 lock 文件会导致 CI 安装失败 - CI 流程中必须用
composer install --no-dev --optimize-autoloader --no-interaction，禁用update—— 后者会重写 lock，破坏部署可重现性
共享逻辑不能靠 autoload.psr-4 跨目录加载
在 user-service/composer.json 的 autoload.psr-4 里写 "Shared\": "../shared-dto/src/"，会让自动加载器从别处拖代码进来，彻底破坏服务边界。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确做法是发布为独立私有包：
acme/shared-dto新建 Git 仓库，含自己的composer.json，name字段设为acme/shared-dto - 打语义化 tag（如
v1.2.0），Satis 才能索引；别用dev-main直接 require，否则 CI 构建时反复 clone 失败 - 各服务中加仓库源：
"repositories": [{"type": "vcs", "url": "https://git.example.com/acme/shared-dto"}]，再composer require acme/shared-dto:^1.2 - 本地开发可用
path类型临时替代，但上线前必须切回私有仓库地址
composer install --no-dev --optimize-autoloader 在边缘节点失效的常见原因
很多团队在边缘节点执行该命令后发现类加载变慢甚至报 Class not found，根本不是命令错了，而是没关掉自动发现机制。
- 默认启用
--classmap-authoritative时，Composer 只从 classmap 加载类，忽略 PSR-4 自动映射 —— 但如果你的包没走dump-autoload预生成 classmap，或用了动态注册（如 Laravel service provider 中require_once），就会漏类 - 边缘节点若用 symlink 安装（
preferred-install: source），而目标环境没开follow_symlinks，--optimize-autoloader会跳过 symlink 目录，导致 classmap 不全 - 某些私有包 dist 包不含
autoload.files声明，但实际需要手动引入 ——--optimize-autoloader不处理这类文件，运行时就崩 - 多节点同步时，
composer.lock文件必须严格一致；只同步代码不校验 lock，极易出现“同一份代码，A 节点正常、B 节点报错”
require-dev 放错位置，线上就可能暴露调试入口或加载失败
require-dev 不是“可有可无”，而是明确的运行时禁区。
-
phpunit/phpunit、phpstan/phpstan、symfony/maker-bundle必须只在require-dev—— 它们不该出现在生产镜像里 -
symfony/flex是典型陷阱：它不参与运行，但会自动注入配置，必须放require-dev；否则 CI 中 recipe 注入可能污染生产环境 - Docker 构建漏掉
--no-dev，symfony/debug-bundle就会被加载，/_profiler暴露堆栈和环境变量 - 某些包（如日志驱动切换）若靠
dev/require拆分来实现行为差异，会导致线上功能异常
最易被忽略的点是：服务间 PSR 接口版本不统一。比如 psr/http-message 在不同服务中 require 了 v1 和 v2，Slim 4 就会直接崩。这不是 Composer 的错，而是约束没收敛到项目级 —— 所有服务的 composer.json 必须显式声明相同版本的 psr/http-message:^1.0。
