--no-dev单独使用无法提供完整安全防护，因为它仅跳过require-dev包下载，却不清理autoload规则、不重生成类映射、也不删除旧vendor中残留的dev包及tests路径映射，导致class_exists()仍反复stat测试目录引发i/o毛刺，高并发下响应延迟升高。
为什么 --no-dev 单独用等于没做安全防护
它只跳过 require-dev 里的包下载，但不清理已存在的 autoload 规则、不重生成类映射、也不删旧 vendor。结果就是：vendor/ 里没 phpunit，vendor/composer/autoload_psr4.php 里还留着 "Tests\" => ["tests/"] 这种路径，每次 class_exists() 都会去 stat() 测试目录——线上高并发时，I/O 毛刺直接拉高响应延迟。
- 常见错误现象：
Class 'TestsTestCase' not found报错，其实是 autoload-dev 路径残留导致查找失败，不是缺包 -
composer install --no-dev不会删除之前装过的 dev 包（比如上一次没加参数留下的phpunit/phpunit） - 某些包的
autoload-dev注册了全局函数或扩展钩子，即使没 require，也可能在 autoloader 初始化阶段被触发
真正起效的五个参数必须一起用
缺一个就可能让服务变慢、偶发 500 或 CI 卡住。它们不是可选优化项，是生产部署的硬性组合：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
--no-dev：跳过require-dev所有包，但仅此一项不清理 autoload 行为 -
--optimize-autoloader（或-o）：生成vendor/composer/autoload_classmap.php，把所有 PSR-4 类名直连文件路径，单次类加载从平均 0.8ms 降到 0.05ms -
--classmap-authoritative：强制 autoloader 只查 classmap，禁用 fallback 扫描——性能更高，但要求所有类必须被收录（PSR-4 自动覆盖，files类型需手动确认） -
--no-interaction（或-n）：防止插件卡在交互提示（如 GitHub credentials），CI 构建超时 -
--prefer-dist：强制下 zip 包，避免部署机上git clone失败（SSH key 缺失、私有 GitLab 无 archive endpoint）
部署后必须验证，不能只信命令
光看命令行输出“Installing dependencies”不代表干净。真实风险藏在 vendor 里：
- 检查
vendor/composer/autoload_dev.php是否存在且非空：存在说明没走--no-dev - 运行
ls vendor/ | grep -E "^(phpunit|phpstan|mockery|symfony/debug|laravel/telescope)"，结果应为空 - 执行
composer show --dev，生产环境应返回空或报错（取决于 Composer 版本） - 上线前加校验脚本：
test ! -f vendor/composer/autoload_dev.php || { echo "ERROR: dev autoloader detected"; exit 1; }
容易被忽略的清理动作
装完不是终点。这些残留不删，等于白配参数：
-
git clean -xffd vendor/必须在composer install前执行——否则旧 vendor 里的 dev 包、测试文件、未清理的缓存全保留 -
--no-scripts要显式加上：跳过post-install-cmd，防止开发用脚本（如生成 mock、跑 lint）意外执行 -
composer validate --strict必须跑一遍：确保composer.json和composer.lock版本兼容、未被篡改 - 注意
require-dev里有没有“伪装成工具”的运行时依赖，比如symfony/var-dumper被用于日志格式化——这种得挪到require，不能靠--no-dev剔除
--classmap-authoritative 和 git clean -xffd vendor/。前者让 autoload 彻底零 I/O，后者确保 vendor 从头干净——这两个动作不执行，前面所有参数都只是纸面安全。
