项目部署时Composer install命令最佳实践指南-composer-PHP中文网

生产环境必须用composer install --no-dev --optimize-autoloader：前者剔除phpunit等dev依赖防安全与性能风险，后者生成静态类映射提升加载性能，二者缺一不可。

项目部署时composer install命令最佳实践指南

生产环境必须用 `composer install --no-dev --optimize-autoloader`

不加 --no-dev 会导致 phpunit、laravel/pint 这类开发依赖被装进生产环境，轻则多占几十 MB 空间，重则触发 Class 'Tests\TestCase' not found 或因缺少 ext-intl 直接 fatal error。--optimize-autoloader 生成静态类映射，减少运行时文件查找，对请求响应时间有实际提升（尤其在 shared hosting 或低配容器中）。

常见错误：CI 流水线里只跑 composer install，没加参数，结果上线后报错；或本地开发机上跑了 composer update 却忘了 git add composer.lock，导致别人 composer install 失败——因为 lock 文件里压根没记录新版本。

--no-dev 不是“可选”，是生产环境的硬性开关
--optimize-autoloader 在 PHP 8+ 下效果更明显，但 7.4 也建议加上
别用 --ignore-platform-reqs 绕过平台检查，它掩盖的是真实环境不兼容问题

Docker 构建中 `composer install` 必须分层缓存 + 非 root 用户

把 composer.json 和 composer.lock 提前 COPY 到构建阶段，再执行 composer install，才能利用 Docker layer 缓存。如果先 COPY 整个代码再装依赖，每次改一行代码都会重跑整个安装流程。

同时，RUN composer install 前必须切换到非 root 用户（如 USER app），否则 vendor 目录权限继承 root，后续运行时可能因权限拒绝加载扩展或写日志。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

顺序必须是：COPY composer.json composer.lock ./ → USER app → RUN composer install --no-dev --no-scripts --no-progress --no-interaction --optimize-autoloader
--no-scripts 很关键：避免生产镜像里意外执行 post-install-cmd 脚本（比如生成密钥、清缓存等），这些操作不该在构建时发生
私有包认证别硬编码进 Dockerfile，用 --secret 挂载或 CI 环境变量注入 COMPOSER_AUTH

CI/CD 流水线里漏掉 `composer.lock` 检查 = 自动引入不确定性

CI 脚本开头必须加一步：test -f composer.lock || (echo "ERROR: composer.lock missing" >&2; exit 1)。只要 .gitignore 里写了 composer.lock，或者有人 git commit 时漏提交，后续所有 composer install 就退化成按 composer.json 重新解析——哪怕只是 monolog/monolog 从 3.5.0 升到 3.6.0，也可能因内部方法签名变更导致你的日志逻辑崩溃。

Composer 2.5+ 已强化校验：若 composer.lock 缺少 composer.json 中声明的包，install 直接失败，这是保护机制，不是 bug
CI 中用 composer install --prefer-dist 加速下载，压缩包比 git clone 快得多
别在 CI 里跑 composer update —— 它该是人审过的动作，不是自动化流程的一部分

线上服务器真的需要运行 `composer install` 吗？

不需要，也不推荐。生产服务器通常没装 Composer，PHP 内存限制常低于 1.5G，且 web 用户不该有写 vendor/ 权限。composer install 触发的 post-autoload-dump 可能暴露路径，post-root-package-install 可能意外执行初始化逻辑。

正确做法：在 CI 或本地干净环境（PHP 版本、扩展严格匹配线上）执行 composer install --no-dev --optimize-autoloader，把整个 vendor/ 打包上传，或通过 rsync 同步过去。

若必须在线安装（比如老旧运维流程），先确认 COMPOSER_HOME 指向可写目录，并设 memory_limit=1536M
线上 PHP 版本低于本地？必须在 composer.json 的 config.platform.php 显式声明，否则可能拉错版本（例如本地 PHP 8.3 装了只兼容 8.2 的包）
composer.lock 的哈希值和下载地址都固化在文件里，它不只是版本号列表——这就是为什么不能靠人工“猜”该装什么