Composer生产环境部署优化（部署指南）-composer-PHP中文网

生产环境绝不能直接运行composer install，必须在ci或docker构建阶段完成依赖安装、类映射生成与冗余清理后整体同步vendor/目录，否则必然引发权限错误、脚本误触发、autoload错乱、密钥泄露四类问题。

composer生产环境部署优化（部署指南）

生产环境绝不能直接运行 composer install，必须在 CI 或 Docker 构建阶段完成依赖安装、类映射生成与冗余清理后，整体同步 vendor/ 目录——否则权限错误、脚本误触发、autoload 错乱、密钥泄露四类问题必然发生。

为什么 `composer install --no-dev` 单独用等于没做

它只跳过安装 require-dev 里的包（如 phpunit/phpunit），但不会清理已存在的 autoload 规则。比如某个包在 autoload-dev 中注册了 tests/ 路径，--no-dev 后该路径仍留在 vendor/composer/autoload_psr4.php 中，类加载时 fallback 到不存在的目录，轻则报错，重则白屏。

--no-dev 必须搭配 rm -rf vendor/ 使用，否则旧 dev 包可能残留（Docker 构建尤其容易因 layer 缓存错层）
不加 --optimize-autoloader，autoload 仍走 PSR-4 扫描路径，单次类加载平均耗时 1.2ms；加了后直查 autoload_classmap.php，降到 0.05ms
composer show --dev 是唯一可信验证方式：执行后输出列表里不该出现任何 phpunit、phpstan、symfony/debug-bundle

`composer install` 必须带齐的五个参数

这五个参数是互锁生效的硬性闭环，漏一个就可能让服务响应变慢、偶发 500 或 CI 超时失败：

--no-dev：跳过 require-dev 所有包，切断 dev 类路径源头
--optimize-autoloader（或 -o）：重建 vendor/composer/autoload_classmap.php，把类名直连文件路径
--classmap-authoritative：告诉 autoloader “类只可能在 classmap 里”，彻底禁用 fallback 扫描——这才是绕过 stat() 的关键；不加它，--optimize-autoloader 几乎无效
--no-interaction（或 -n）：防止插件卡在 GitHub credentials 提示上，CI/Docker 构建时直接超时
--prefer-dist：强制走 zip 包而非 git clone，避免部署机缺 git 或网络跨区不稳定导致中断

注意：--no-scripts 也强烈建议加上，防止 post-install-cmd 在线上误执行 php artisan key:generate 或清缓存。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

装完还必须手动清理的 vendor 冗余项

composer install --no-dev --optimize-autoloader --classmap-authoritative 只控制“装什么”，不管“留什么”。这些内容不删，等于主动开放攻击面：

vendor/bin/：全部删除（除非你明确需要 phinx 或 doctrine CLI 工具在线上运行）
vendor/**/tests/、vendor/**/Tests/、vendor/**/test/、vendor/**/Test/
vendor/**/{.git,.gitignore,.travis.yml,phpunit.xml,phpstan.neon,psalm.xml}
vendor/**/docs/、vendor/**/examples/、vendor/**/demo/
vendor/composer/installed.json：含全部包哈希与版本，泄露后可精准定位漏洞组件

Linux/macOS 下可用 find vendor -path '*/tests' -o -path '*/.git' -o -name 'phpunit.xml' -delete 快速清理；CI/CD 中建议用 rm -rf 显式声明，避免 glob 模糊匹配漏删。

构建环境必须严格一致，否则优化失效

这条命令只应在与线上环境严格一致的干净构建环境中执行：CI 流水线、Docker 构建阶段，或本地用相同 PHP 版本启动的容器。关键点是「隔离」和「可复现」：

CI 中必须显式指定 PHP 镜像（如 php:8.1-cli），并用 curl -sS https://getcomposer.org/installer | php 安装 Composer 2.x
composer.lock 必须已提交 Git，且内容与 composer.json 同步；否则 --no-dev 可能漏掉某些被 runtime 间接依赖的 dev 包
若项目配置了 "platform": {"php": "8.1"}，构建环境 PHP 小版本必须 ≥8.1.0，否则会降级拉包，上线后出现 Class not found
构建完立刻打包：tar -czf vendor.tar.gz vendor/，别留裸目录上传——防止 .gitignore 漏掉隐藏文件（如 .htaccess 或 .env.example）

最易被忽略的是 --classmap-authoritative 的副作用：启用后，class_exists('SomeDynamicClass' . $suffix) 这类运行时拼接类名的逻辑会直接失败，因为 autoloader 不再尝试查找；Laravel 9+ 默认兼容，但自定义命令或第三方包若依赖 files 类型 autoload，则必须确保这些文件已被收录进 classmap（可用 composer dump-autoload -a 补全，但仅限构建阶段）。