根本原因是composer.lock文件已记录dev包，而--no-dev仅跳过安装不清理lock；若lock被污染（如本地执行过未加--no-dev的update），docker构建时仍会校验并还原dev依赖，导致vendor/bin等残留。
为什么 composer install --no-dev 在 Docker 构建中仍可能引入 dev 依赖？
根本原因不是命令写错了，而是 composer.lock 文件本身记录了所有依赖（含 require-dev），而默认 composer install 会照单全收——除非明确禁用 dev 包且 lock 文件未被污染。
常见错误场景：本地开发时执行过 composer update，lock 文件里已存有 dev 包的哈希与版本；Docker 构建时虽加了 --no-dev，但 Composer 仍会校验并还原 lock 中声明的所有包（包括 dev），只是跳过自动加载注册。但部分包（如 phpunit/phpunit）可能在安装过程中触发脚本、生成缓存或写入 vendor/bin，导致镜像体积虚增甚至运行时冲突。
- 确认 lock 文件是否干净：检查
composer.lock中packages-dev字段是否为空，非空说明它仍“记得”dev 依赖 - CI/CD 或本地构建前应统一执行
composer install --no-dev --ignore-platform-reqs并提交更新后的 lock 文件 - 若团队共用 lock 文件但需兼顾本地开发，建议用
COMPOSER_DEV=0环境变量配合脚本控制，而非依赖 .gitignore 掩盖问题
Docker 多阶段构建中如何彻底剥离 vendor/bin 和 autoload-dev.php？
vendor/bin 目录和 vendor/autoload-dev.php 不会被 --no-dev 自动清理，它们由 dev 包安装过程生成，却常被 COPY 进最终镜像，造成冗余。
典型误操作：在 final 阶段用 COPY --from=builder /app/vendor /app/vendor，把整个 vendor 拷贝过去，连带 bin 和 dev autoloader 一起打包。
- 改用精确 COPY：只复制运行必需内容，例如
COPY --from=builder /app/vendor/autoload.php /app/vendor/autoload.php和COPY --from=builder /app/vendor/composer /app/vendor/composer - 手动删除残留：在 builder 阶段末尾加
RUN rm -rf /app/vendor/bin /app/vendor/autoload-dev.php，再 COPY 整个 vendor - 注意
vendor/composer/autoload_static.php等文件依赖于安装时的环境，必须确保 builder 阶段 PHP 版本与 final 阶段一致，否则类加载失败
PHP 扩展缺失导致 composer install 在构建时静默失败怎么办？
Docker 构建中 composer install --no-dev 报错退出很常见，但更危险的是“看似成功实则漏装”——比如因缺少 ext-zip，Composer 降级使用 ziparchive 回退逻辑，结果某些包（如 symfony/flex）的 installers 被跳过，vendor 结构不完整。
这类问题在 Alpine 镜像中尤为突出，php:alpine 默认不带 zip、mbstring、xml 等扩展，而生产依赖可能隐式需要它们。
- 构建前先验证：在 builder 阶段加
RUN php -m | grep -E '^(zip|mbstring|xml|curl)$'，缺一不可 - Alpine 用户务必安装
php7-zip php7-mbstring php7-xml php7-curl（注意版本号匹配） - 不要依赖
composer install的返回码判断完整性——加一行RUN test -f /app/vendor/autoload.php && echo "autoload OK" || exit 1做兜底检查
为何 composer install --optimize-autoloader --classmap-authoritative 不能省略？
这两个参数不是“锦上添花”，而是直接影响运行时性能与镜像体积：前者生成扁平 classmap，后者禁用 PSR-4/PSR-0 动态查找，两者结合可删掉大量未使用的 autoload 配置文件和扫描逻辑。
不加的话，vendor 中每个包的 composer.json 里 autoload 字段都会被保留，autoload_real.php 会加载冗余映射，既拖慢请求，又让 vendor/composer 目录多出数百 KB。
-
--optimize-autoloader必须配合--no-dev使用，否则 classmap 会包含测试类 -
--classmap-authoritative要求所有类都通过 classmap 加载，因此确保项目无动态 require 或 eval 类加载行为 - 推荐组合命令：
composer install --no-dev --optimize-autoloader --classmap-authoritative --ignore-platform-reqs
最易被忽略的一点：这些优化只在首次 install 生效，后续构建若复用旧 vendor，不会重新生成 classmap。务必保证每次构建都从干净 vendor 开始，或显式加 --force-install 强制重装。
