直接运行 composer install 通常不会节省部署时间，除非明确控制行为和环境；其在 ci/cd 中变慢的主因是未禁用 dev 依赖、未启用缓存、未优化自动加载及未跳过脚本执行。
直接运行 composer install 通常不会节省部署时间——反而可能拖慢流程，除非你明确控制了它的行为和环境。
为什么 composer install 在 CI/CD 中常变慢
默认情况下，composer install 会做三件事：解析 composer.lock、下载所有包、执行 autoload-dump 和脚本（如 post-install-cmd）。其中最耗时的是包下载和自动加载生成，尤其在无缓存、低带宽或启用了 dev 依赖的环境中。
- 没加
--no-dev？它会装require-dev里所有包（比如 PHPUnit、PHPStan），这些在生产环境完全不需要 - 没设
COMPOSER_CACHE_DIR或没复用缓存？每次都要重下 ZIP 包，而不是从本地缓存解压 - 用了
--optimize-autoloader（应该用）但漏了--classmap-authoritative？自动加载仍走文件查找，性能差一截 - CI 环境里没禁用脚本？
post-install-cmd可能触发 asset 构建、数据库迁移预检等非必要操作
composer install 生产部署的最小安全命令
真正提速的关键不是少打几个字，而是砍掉所有非必要环节。下面这条命令在大多数 Laravel/Symfony 项目中可直接用于部署：
composer install --no-dev --optimize-autoloader --classmap-authoritative --no-scripts --quiet
逐项说明：
-
--no-dev：跳过require-dev，省下 30–50% 的包体积和安装时间 -
--optimize-autoloader：生成classmap而非 PSR-4 动态查找，autoload 效率翻倍 -
--classmap-authoritative：告诉 Autoloader “classmap 里没有的类就一定不存在”，彻底跳过文件系统扫描 -
--no-scripts：防止意外触发开发期脚本（比如前端构建、.env 检查） -
--quiet：减少日志 I/O，对容器化部署有轻微但可测的提速
必须检查的两个前提条件
上述命令只在满足以下两点时才安全有效：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock文件必须已提交到仓库——install依赖它还原确定版本；如果只有composer.json，就得用composer update，那就不叫“部署”而叫“重构依赖” - PHP 版本和扩展（如
mbstring、xml）必须与composer.lock中记录的平台配置一致；否则install会失败或降级包，导致行为不一致
检查方式：composer check-platform-reqs，失败时别硬跑 install，先调环境。
缓存不是可选项，是必选项
即使加了所有优化参数，没缓存的话，第一次部署仍慢。Docker 或 GitHub Actions 中务必挂载缓存目录：
- Docker：用
VOLUME ["/root/.composer/cache"]或绑定宿主机路径 - GitHub Actions：用
actions/cache缓存~/.composer/cache，key 建议含 PHP 版本和 lock 文件 hash - 注意：
composer install默认读写~/.composer/cache，不要改路径除非你清楚后果
缓存生效后，后续部署的下载阶段基本消失，耗时集中在 autoload 生成——而这部分已由 --optimize-autoloader 和 --classmap-authoritative 压到最低。
真正卡住部署的往往不是命令本身，而是没意识到 composer.lock 的权威性、PHP 平台一致性、以及缓存路径是否真实命中。这三处任一出错，install 就会退化成慢速、不可控的 update。
