autoload.exclude仅Composer 5.0+支持且仅作用于PSR-4/PSR-0，低版本无效；exclude-from-classmap仅对classmap生效，需显式声明classmap并运行dump-autoload；autoload-dev实现环境隔离，不删除文件而控制加载注册。
autoload.exclude 只在 Composer 5.0+ 生效，且只管 PSR-4/PSR-0
低于 composer --version 显示 5.0.0 的版本，写 autoload.exclude 完全无效——不是配置错，是解析器直接忽略。常见错误是项目还在用 Composer 2.x 或 4.x，却照搬新文档配 exclude 字段。
它只过滤 PSR-4 和 PSR-0 扫描出的类，对 classmap 和 files 类型完全没反应。比如你写了：
"autoload": {
"psr-4": {"App\": "src/"},
"exclude": ["tests/Stub/"]
}
那 tests/Stub/ExampleStub.php 确实不会被 PSR-4 加载；但如果该文件同时被 classmap 扫过（比如 "classmap": ["src/", "tests/"]），它照样出现在 vendor/composer/autoload_classmap.php 里。
- 路径必须相对
composer.json根目录，写成"tests/Stub/"，不能是./tests/Stub/或tests/Stub（后者可能误匹配tests/Stub.php） - 不支持通配符：
"tests/**/*.php"、"*.test.php"都被无视 - 改完必须运行
composer dump-autoload，否则vendor/autoload.php不更新
exclude-from-classmap 是 classmap 场景下唯一可靠手段
exclude-from-classmap 不是全局开关，它只在 classmap 扫描阶段起作用：跳过指定路径，让对应类根本不出现在 autoload_classmap.php 中。
但它只生效于显式声明了 classmap 的场景。如果你的 composer.json 里只有 psr-4，加这个字段等于没写。
正确写法示例：
"autoload": {
"psr-4": {"App\": "src/"},
"classmap": ["lib/"],
"exclude-from-classmap": ["lib/TestHelpers.php", "lib/legacy/*"]
}
- 路径区分大小写，且必须相对于项目根目录；
"lib/legacy/"和"lib/Legacy/"是两个路径 - 支持
*（如"legacy/*"），但不支持**；目录末尾斜杠推荐加上 - 如果同一类既在 PSR-4 映射中又在 classmap 中，
exclude-from-classmap只删 classmap 条目，PSR-4 加载仍有效 - 运行
composer dump-autoload后，检查vendor/composer/autoload_classmap.php是否真没了对应条目
autoload-dev 不是排除，而是环境级隔离
多数人想“排除”的其实是测试桩、CLI 工具、示例代码——这些本就不该进生产环境自动加载器。autoload-dev 不是删除文件，而是控制注册时机：只有开发环境才把它的规则写进 vendor/autoload.php。
典型安全做法：
"autoload": {
"psr-4": {"App\": "src/"}
},
"autoload-dev": {
"psr-4": {
"App\Tests\": "tests/",
"App\Stub\": "tests/Stub/"
}
}
- 生产部署时运行
composer install --no-dev，App\Stub\命名空间根本不会注册进 autoloader - 文件物理存在，但运行时无法通过 new 或 use 加载，也不会污染 IDE 补全或静态分析
- 兼容所有 Composer 版本，比
autoload.exclude更稳妥 - 若测试类混在
src/Tests/里，且主psr-4已覆盖该路径，就得先从主映射里移除，再挪到autoload-dev—— 否则--no-dev也拦不住
files 类型没有 exclude 机制，只能删条目或拆到 autoload-dev
autoload.files 是硬 require 列表，每次请求都会无条件加载，没有任何过滤逻辑。写进去的文件，dump-autoload 后就固定在 vendor/autoload.php 开头。
想“排除”某个 helper 文件？只有两个办法：
- 从
autoload.files数组里彻底删掉对应路径，比如删掉"src/Helpers/DebugHelper.php" - 把它挪到
autoload-dev.files，并确保生产环境始终用--no-dev
常见陷阱：
- 以为
exclude-from-classmap能屏蔽files条目——完全无效，files在 autoloader 初始化前就被require_once了 - 在
autoload.files里引入了调试工具，却忘了生产环境也会执行，导致性能损耗或敏感信息泄露 - 想用环境变量动态控制
files加载？Composer 不支持，得靠自定义 PHP 文件做条件判断，再手动spl_autoload_register
真正难处理的是那些必须留在 src/ 里、命名空间又和主业务冲突、还不能进 autoloader 的边角文件——这时要么重构目录结构，要么用构建脚本在部署前清理，autoload 机制本身无解。
