多租户环境下必须为每个租户单独执行composer install并指定目录，禁用脚本和交互，否则vendor混写、autoload冲突、全局钩子跨租户生效；需用-d指定独立路径，include_once租户autoload.php并按序注册classloader。
多租户环境下不能共用 composer install 进程，必须为每个租户单独执行、指定目录、禁用脚本——否则 vendor 会混写、autoload 映射冲突、全局钩子跨租户生效。
租户级安装必须显式指定工作目录（-d）
Composer 默认只认当前目录下的 composer.json 和 vendor/，它不感知租户上下文。如果你在根目录运行 composer install，所有租户都会往同一个 vendor/ 写，最终类加载失败或版本覆盖。
- 正确做法是每个租户走独立路径：
composer install --no-scripts --no-interaction -d "tenants/abc123" -
-d参数必须存在，且路径需提前创建好、权限可写 - 不要依赖
cd tenants/abc123 && composer install—— shell 切换目录在并发场景下不可靠，尤其 Jenkins 或容器中 - 如果用 PHP 动态调用，记得用
proc_open()并显式设置cwd选项，而非仅传参
为什么必须加 --no-scripts 和 --no-interaction
租户间若共享 post-install-cmd 类钩子（比如清缓存、发通知、生成配置），一个租户触发就会波及全体；而交互式提示（如 auth.json 输入）在无人值守部署中直接卡死进程。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
--no-scripts禁用所有scripts字段定义的命令，包括根项目和租户composer.json里的 -
--no-interaction防止等待 stdin 输入，也避免因缺失auth.json而挂起 - 别以为“租户 composer.json 没写 scripts 就安全”——Composer 会合并根项目和租户配置，只要任一文件含
scripts就可能被执行 - 若真需租户专属初始化逻辑，应拆到运行时（如首次请求时检查并执行），而非绑定 install 阶段
运行时 autoload 加载不能复用根项目的 vendor/autoload.php
每个租户的 vendor/autoload.php 是独立生成的，PSR-4 映射只覆盖该租户路径。直接 require 根项目的 autoload 会导致租户类找不到，或错误加载其他租户的同名命名空间。
- 必须按需
include_once 'tenants/abc123/vendor/autoload.php' - ClassLoader 注册顺序很重要：先注册租户的 PSR-4（如
Tenant\abc123\），再注册主项目，否则租户类可能被主项目规则拦截 - 不要用
composer dump-autoload --classmap-authoritative扫描租户目录——它只处理autoload块声明的路径，对运行时动态注册无效 - 租户专属包（如
tenant-a/feature-x）不能出现在根composer.json的require中，否则会被全局 autoload 覆盖
镜像源与缓存必须按租户隔离或预热，不能靠环境变量临时切换
K8s 或 CI 环境里，~/.composer/config.json 无法持久化，COMPOSER_REPO_PACKAGIST 环境变量只影响当前进程，且多个租户并发时容易互相覆盖。
- Docker 构建阶段必须固化镜像源：
RUN composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（注意 URL 结尾必须有/） - 多租户构建时，推荐 OverlayFS 只 overlay
$HOME/.composer/cache/files，lowerdir 用预热镜像，upperdir 每租户独享 - 禁止在
composer.json里硬编码repositories—— 容易与团队规范冲突，且租户间无法差异化配置 - 若需私有包源，应在租户
composer.json的repositories字段中声明，但必须校验域名白名单，防注入攻击
真正难的不是生成 N 个 composer.json，而是确保从安装、加载、缓存到钩子执行，每个环节都切断租户间的隐式耦合。哪怕漏掉一个 --no-scripts 或错用一次 include，都可能让某个租户静默失败数小时。
